Windows 11 25H2/24H2向けの最新の月例更新プログラム「KB5089549」には、当初公式のリリースノートでは触れられていなかった静かな改善が含まれています。
Secure Boot証明書更新の管理に役立てることができる、「SecureBoot」フォルダーがシステムに追加されているのです。このフォルダには、Secure Boot証明書の更新状況を検出したり、自動展開したりするためのPowerShellスクリプトがまとめられています。
- Detect-SecureBootCertUpdateStatus.ps1
デバイスの状態データを収集するスクリプト。 - Aggregate-SecureBootData.ps1
収集したデータを集約し、レポートやダッシュボードを生成するスクリプト。 - Deploy-GPO-SecureBootCollection.ps1
Secure Boot の状態データを収集するための GPO（グループポリシー）を自動作成するスクリプト。 - Start-SecureBootRolloutOrchestrator.ps1
証明書インストールのための GPO 展開を含む、Secure Boot 証明書更新のロールアウトを完全自動で継続的にオーケストレーションするスクリプト。 - Deploy-OrchestratorTask.ps1
ロールアウトオーケストレーターを Windows のスケジュールタスクとして展開し、自動実行できるようにするスクリプト。 - Get-SecureBootRolloutStatus.ps1
任意のワークステーションから Secure Boot 証明書ロールアウトの進行状況を確認できるスクリプト。
これにより、GPO(グループポリシー)を使った展開や、更新状況の可視化が容易になり、証明書更新のフェーズ1(検出・監視)からフェーズ2(証明書ロールアウト完了)までをスムーズに管理できます。
突然SecureBootフォルダが追加されたため、はじめはバグではないかとも疑われていましたが、後にリリースノートが更新されました。
This update adds a new SecureBoot folder under C:\Windows on eligible devices. The folder contains example scripts intended for organizations with IT professionals who actively manage updates across their device fleet. These scripts can be used to detect Secure Boot certificate update status and automate deployment via a safe rollout mechanism in an Active Directory environment. For more information, see Sample Secure Boot E2E Automation Guide.
この更新により、対象デバイスのc:\Windows配下に新しい「SecureBoot」フォルダーが追加されます。フォルダー内には、組織内でデバイス管理を行うIT管理者向けのサンプルスクリプトが含まれています。これらのスクリプトは、Secure Boot証明書の更新状況を検出したり、Active Directory環境で安全に段階的ロールアウトを自動化したりするために利用できます。詳細については、「Secure Boot E2E Automation Guide(Secure Bootエンドツーエンド自動化ガイド)」を参照してください。
2026年に期限切れとなる旧証明書への対応
Microsoftは2024年に、Secure Bootの古い証明書が2026年に期限切れを迎えることを発表していました。今回の更新では、新しい2023年版証明書がWindows 11に順次展開され、ブートキットなどのマルウェア対策として重要な役割を果たすことになります。また、一般ユーザー向けには、Windowsセキュリティアプリ内に「証明書が更新済みかどうか」を確認できるマーカーも追加されています。
まとめ
KB5089549は不具合報告や脆弱性(MiniPlasma)への注意点もある一方で、Secure Boot更新の管理を大幅に効率化する実用的な改善が含まれています。特に企業環境では、証明書更新の自動化や監視がしやすくなるため、セキュリティ運用の負担軽減につながるアップデートと言えそうです。
[via Neowin]
