以前、Secure Bootの証明書更新状態をPowerShellで確認する記事を書いてみたんですが、最近のWindowsだとこの辺りがWindowsセキュリティ（GUI）でも確認できるようになっていたので、こちらも触ってみました。

前回のPowerShell編はこちらです。

1. 確認する場所

確認場所は以下となります。【田キー】を押してWindows セキュリティと入力するかか、【田キー】から【設定】で【プライバシーとセキュリティ】に進むどちらかで進めます。

Windowsセキュリティ
  → デバイスセキュリティ
    → セキュアブート

手元の環境では、ここに次のような表示が出ていました。

セキュアブートがオンになっており、
必要なすべての証明書の更新が適用されました。
これ以上の証明書の変更は必要ありません。

緑のチェックマークも付いています。（Webの情報ではもっと大きなバッチがでているように見えるのですが、ちっさ🥲）

ただ、緑のチェックだけを見るよりも、本文のメッセージまで確認したほうが良さそうです。今回重要なのは、単にSecure Bootがオンになっているかではなく、Secure Boot証明書の更新状態まで確認できるようになったという点です。

2. いつからGUI上で見えるようになったのか

Microsoftの情報を見ると、この表示は2026年4月から順次展開されているようです。

私の環境はバージョン25H2ですが、23H2以降で2026年4月のアップデートを行っていれば同様にみえるようです。

OS	Phase 1の提供開始
Windows 11 23H2 / 24H2 / 25H2 / 26H1	2026年4月8日、アプリ更新

さらにPhase 2では、警告通知やアプリ内の追加ガイダンスなどが追加されます。（自分の表示はこちらのようですね。）

OS	Phase 2の提供開始
Windows 11 23H2 / 24H2 / 25H2 / 26H1、Windows Server 2025	2026年5月16日、アプリ更新

3. 「2026年の証明書」ではなく「2023系証明書」

前回も少し触れていることとなりますが、少しややこしいのが、今回の話は「2026年問題」っぽく見えるものの、入る証明書は2026年の証明書ではないという点なんですよね😅

ざっくり言うと、

2011年発行の古いSecure Boot証明書
  ↓
2026年に期限切れが近づいている
  ↓
置き換え先として2023系証明書が配布されている

という構図です。

そのため、PowerShellで確認するときも、見るべき名前は主にこのあたりとなります。

Windows UEFI CA 2023
Microsoft Corporation KEK 2K CA 2023

つまり、

2026年対応済み
  =
2026年証明書が入っている

ではなく、

2026年に期限切れになる2011系証明書への対策として、
2023系証明書に更新されている

という理解のほうが正確です。自分も最初は「2026年問題なんだから2026年証明書が入るんでしょ？」と思って探していて、なかなか見つからずに混乱しました😅

4. 念のため、PowerShellでも確認してみる

GUIで見えるようになったとはいえ、確認用にはPowerShellも便利です。

まず、Secure Bootが有効かどうかは以下で確認できます。

Confirm-SecureBootUEFI

Trueが返れば、Secure Bootは有効です。

次に、Secure Boot証明書更新の状態を見るなら、以下を確認します。

$path = "HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing"

Get-ItemProperty `
  -Path $path `
  -Name UEFICA2023Status, UEFICA2023Error `
  -ErrorAction SilentlyContinue |
Select-Object UEFICA2023Status, UEFICA2023Error

手元の環境では以下のようになりました。

UEFICA2023Status
---------------
Updated

UEFICA2023StatusがUpdatedであれば、2023系証明書への更新は完了していると見て良さそうです。

UEFICA2023Errorは、問題がある場合に見る項目です。エラーがなければ空欄だったり、環境によっては問題なしを示す値になっていることがあります。

5. 実際に証明書を見る

さらに、UEFI側に入っている証明書を確認するなら、Get-SecureBootUEFIを使います。

最近は-Decodedパラメーターが使える環境では、証明書情報を人間が読みやすい形で確認できるようになっていました。

DB側を確認する例です。

Get-SecureBootUEFI -Name db -Decoded |
Where-Object {
    $_.Subject -match "Windows UEFI CA 2023|Microsoft UEFI CA 2023|Microsoft Option ROM UEFI CA 2023"
} |
Select-Object Subject, ValidTo

自分の環境では、以下のようにWindows UEFI CA 2023が確認できました。

CN=Windows UEFI CA 2023, O=Microsoft Corporation, C=US

KEK側は以下で確認できます。

Get-SecureBootUEFI -Name kek -Decoded |
Where-Object {
    $_.Subject -match "Microsoft Corporation KEK 2K CA 2023"
} |
Select-Object Subject, ValidTo

こちらも、以下の証明書が確認できました。

CN=Microsoft Corporation KEK 2K CA 2023, O=Microsoft Corporation, C=US

GUIの表示とPowerShellの結果が揃っていたので、このPCについてはSecure Boot証明書更新済みと判断して良さそうです。

6. 表示制御用のレジストリもある

確認はしていませんが、Windowsセキュリティ上にSecure Boot証明書状態を表示するかどうかは、以下のレジストリ値でも制御できるようです。

HKLM\SOFTWARE\Policies\Microsoft\Windows Defender Security Center\Device security
HideSecureBootStates

確認する場合は以下です。

Get-ItemProperty `
  -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows Defender Security Center\Device security" `
  -Name HideSecureBootStates `
  -ErrorAction SilentlyContinue

値の意味は以下です。

値	意味
0	Secure Boot証明書状態を表示する
1	Secure Boot証明書状態を非表示にする
未設定	既定動作

おわりに

以前は、Secure Boot証明書更新の確認というとPowerShellで見る印象が強かったのですが、最近のWindowsではGUIでもかなり分かりやすく確認できるようになっていました🤩

特に、Windowsセキュリティの

デバイスセキュリティ
  → セキュアブート

で、

必要なすべての証明書の更新が適用されました

と表示されていれば、まずは安心して良さそうです。多分🙄

ただ、管理端末や検証用端末では、GUI表示だけでなくPowerShellでも確認しておくと確実です。見るポイントはこの3つなんですよね。

Confirm-SecureBootUEFI が True
UEFICA2023Status が Updated
DB / KEK に 2023系証明書が入っている

「2026年問題」と聞くと2026年の証明書が入るように思ってしまいますが、実際には2011系証明書の期限切れに備えて、2023系証明書へ更新するという話でした。自分も最初は名前で混乱したクチです😅 GUIで見えるようになったことで、一般ユーザーにもかなり状況が分かりやすくなったのは嬉しいところですね。