Windows 11でセキュアブートを有効にすると起動しない原因は？証明書の確認方法とCMOS電池交換後の対処法

Windows 11のパソコンで、メーカーやマザーボードのロゴまでは表示されるのにWindowsが起動せず、BIOS／UEFIでSecure Boot（セキュアブート）を無効にすると起動できる場合、セキュアブート周辺の設定や鍵・証明書、UEFI起動環境を確認する必要があります。

特に2026年は注意が必要です。MicrosoftがSecure Bootで長年使用してきた2011年版の証明書は2026年6月から順次期限を迎えており、Windows Updateを通じて2023年版証明書への更新が進められています。ただし、古い証明書の期限切れだけで通常のWindowsが突然起動不能になる、と単純に断定することはできません。Microsoftは、更新されていないPCでもWindows自体は引き続き起動し、通常のWindows Updateも受信できると説明しています。[参照：Microsoft「Windows Secure Boot certificate expiration and CA updates」]

また、CMOS電池を交換したこととWindows Updateのファイルが消えることは別問題です。CMOS電池やCMOSクリアで影響するのは基本的にマザーボードのUEFI／BIOS設定であり、SSDなどへインストール済みのWindows Updateそのものが削除されるわけではありません。重要なのは、現在のSecure Boot状態、Windowsの起動モード、Secure Boot証明書の更新状態、BIOS設定が電池交換前後で変化していないかを順番に確認することです。

まずWindows 11上でSecure Bootの現在の状態を確認する

Secure Bootを無効にすればWindows 11が起動できる状態なら、まずそのままWindowsへ入り、現在どのように認識されているか確認します。最も簡単なのは「システム情報」です。

1. Windowsキー＋Rキーを押す
2. 「msinfo32」と入力してEnterキーを押す
3. 「システムの要約」を表示する
4. 「BIOSモード」を確認する
5. 「セキュア ブートの状態」を確認する

正常なUEFI環境でSecure Bootを無効にしている場合、「BIOSモード」が「UEFI」、「セキュア ブートの状態」が「無効」といった表示になります。ここでBIOSモードが「レガシ」になっている場合は、単純にSecure Bootだけをオンにすればよい状況ではありません。

Secure BootはUEFIの仕組みなので、Windowsがどの方式でインストール・起動しているかは非常に重要です。「Windows 11だからSecure BootをEnableにすれば必ず正常起動する」と考えず、最初にmsinfo32で現在の状態を記録しておきましょう。

PowerShellでもSecure Bootが有効か確認できる

MicrosoftはSecure Boot状態を確認するPowerShellコマンドとして「Confirm-SecureBootUEFI」を提供しています。管理者権限でWindows PowerShellを起動し、このコマンドを実行します。[参照：Microsoft Learn「Confirm-SecureBootUEFI」]

Microsoftによると、Secure Bootに対応したUEFI PCでSecure Bootが有効なら「True」、対応しているものの無効なら「False」が返ります。UEFIではない環境などでは「Cmdlet not supported on this platform」と表示されます。

今回のようにSecure Bootを無効にしてWindowsを起動しているなら「False」になること自体は異常ではありません。この確認は、BIOS画面の設定とWindows側から見た状態が一致しているかを確認するために利用できます。

2026年は「Windows セキュリティ」からSecure Boot証明書の状態も確認できる

2026年時点では、単にSecure Bootがオンかオフかだけでなく、証明書更新の状態もWindows上から確認しやすくなっています。Microsoftは2026年4月から、Windows セキュリティ アプリにSecure Boot証明書更新状況の追加情報を順次表示しています。[参照：Microsoft「Secure Boot certificate update status in the Windows Security app」]

Windows 11では「Windows セキュリティ」→「デバイス セキュリティ」→「Secure Boot」の項目を確認します。利用しているWindowsへ機能が展開済みであれば、Secure Bootの状態だけでなく、新しい証明書へ更新済みか、古いブート信頼構成を使用しているかなどが表示されます。

Microsoftが示している正常な状態は、Secure Bootが有効で必要な証明書更新も適用済みであり、追加の証明書変更が必要ない状態です。古い構成の場合は、まず最新のWindows Updateを適用するよう案内されています。

2026年のSecure Boot証明書問題とは何なのか

WindowsのSecure Bootでは、UEFIファームウェア内に保存された信頼済み証明書などを利用し、Windows Boot Managerを含む起動時のソフトウェアが信頼できるものか検証します。Microsoftによると、Secure Bootの信頼構造にはPlatform Key（PK）、Key Enrollment Key（KEK）、許可された署名を管理するDB、失効した署名を管理するDBXなどがあります。[参照：Microsoft「Secure Boot certificate expiration and CA updates」]

従来広く使用されてきた「Microsoft Corporation KEK CA 2011」は2026年6月24日、「Microsoft UEFI CA 2011」は2026年6月27日、「Microsoft Windows Production PCA 2011」は2026年10月19日に期限を迎える予定とMicrosoftは説明しています。そのためMicrosoftは新しい2023年版証明書への移行を進めています。

2026年8月時点でもMicrosoftは、対象となる一般ユーザー向けPCへWindows Updateを通じて新しい証明書を展開しています。したがって、現在Windows 11を利用しているならWindows Updateを最新状態に保つことが重要です。[参照：Microsoft「2026年8月 Windows 11セキュリティ更新」]

ただし「2011証明書が期限切れだからWindowsが起動しない」とは限らない

2026年という時期だけを見ると、Secure Bootを有効にしたときの起動不能を証明書期限切れと結び付けたくなります。しかしMicrosoftの説明では、新しい2023年版証明書をまだ受け取っていないPCでもWindowsは引き続き起動し、標準のWindows Updateもインストールできます。

問題になるのは、古い証明書のままだと今後のWindows Boot ManagerやSecure Bootデータベース、失効リスト、新たなブートレベル脆弱性への保護更新を受けられなくなることです。[参照：Microsoft「When Secure Boot certificates expire on Windows devices」]

したがって、「Secure BootをEnableにすると画面が真っ黒になる」という現象だけから、証明書期限切れを原因と断定するのは避けるべきです。UEFI設定の変化、Secure Boot鍵の状態、CSM、起動方式、グラフィックカードのUEFI対応など、ほかの要因も確認する必要があります。

CMOS電池が切れると何が起きる？

マザーボードのCR2032などのCMOS／RTC用電池は、PCの電源を切っている間も時計や一部のファームウェア設定を保持するために使われます。PCの時刻をBIOSで合わせても、電源を切ってしばらくすると再び大きくずれる症状は、電池消耗を疑う典型的な材料の一つです。

6年間程度使用して一度も交換していないのであれば、電池交換そのものは不自然な対応ではありません。ただし「時刻がずれる」という症状と「Secure Bootを有効にするとWindowsが起動しない」という症状が必ず同じ原因とは限りません。

電池交換によって時刻のずれが解消したのであれば、電池は一つの問題だった可能性があります。そのうえでSecure Boot側の問題を別途切り分けるのが安全です。

電池を抜いてすぐ交換したらCMOSクリアされる？

ボタン電池を抜いたからといって、必ず完全なCMOSクリアが行われるとは限りません。マザーボード側に電気が残っていたり、設定保存方式によって影響が異なったりするためです。

ASRock B450 Pro4には、公式製品ページからマニュアルが公開されています。CMOSを明示的にクリアしたい場合は、自己流で電池を抜く時間を調整するのではなく、使用しているマザーボードのマニュアルに記載されたClear CMOSの手順に従うべきです。[参照：ASRock「B450 Pro4」公式サポート・マニュアル]

また、今回の目的は「とにかくCMOSをクリアすること」ではありません。現在WindowsがSecure Boot無効で起動できているなら、先に現在のBIOS設定を写真などで記録し、Windows側の状態を確認するほうが安全です。

CMOSクリアでWindows Updateは削除されない

ここは混同しやすいポイントですが、CMOSクリアやCMOS電池交換によって、SSDへインストールされたWindows Updateそのものが削除されるわけではありません。

Windows UpdateでインストールされたWindowsのシステムファイルはSSDなどのストレージへ保存されています。一方、CMOS／UEFI設定はマザーボード側の設定です。この二つは保存場所も役割も異なります。

ただし、Windows Updateを通じてSecure Boot関連の更新が行われるケースでは、Windows側の更新とUEFI内のSecure Bootデータベース更新が連携する場合があります。Microsoftは2023年版Secure Boot証明書をWindows Update経由で順次配布しています。そのため「Windows Updateが消えた」というより、BIOS設定の初期化によって起動条件が変化した可能性をまず考えるべきです。

CMOSクリア後に変わる可能性があるのはBIOS／UEFI設定

CMOSクリアや「Load UEFI Defaults」などを実行した場合、マザーボードの設定が標準値へ戻ることがあります。具体的にはブート順序、CSM、Secure Boot、TPM関連、SATAモード、メモリー設定、ファン設定などが影響を受ける可能性があります。ただし、どの項目がどの値へ戻るかはBIOSバージョンや構成によって異なります。

そのため、以前正常に起動していたPCでCMOSクリア後に起動しなくなった場合、「Windowsが壊れた」と考える前にUEFIの起動設定が以前と同じか確認します。

特にブート関連の設定は安易に変更しないことが重要です。複数項目を同時に変更すると、どの変更で起動できなくなったのか分からなくなります。

Secure Bootを有効にする前に「BIOSモード：UEFI」を確認する

WindowsをSecure Boot無効の状態で起動し、msinfo32を開いたら、まず「BIOSモード」が「UEFI」になっているか確認してください。

UEFIと表示されていれば、Windows自体はUEFIモードで起動しています。そのうえでSecure Bootだけが無効になっているなら、Secure Boot鍵やUEFI設定などを中心に調べられます。

一方、レガシモードで起動している環境では事情が異なります。Secure BootはUEFIを前提とするため、設定を単純にオンへ変更するだけでは正常に起動できないことがあります。起動ディスクのパーティション方式なども関係するため、むやみに設定を変更しないでください。

B450 Pro4のSecure Boot設定はBIOSバージョンによって画面が異なる可能性がある

ASRock B450 Pro4は長期間販売・サポートされてきたマザーボードであり、BIOS／UEFIアップデートによって設定画面や項目が変わっている場合があります。そのため、インターネット上にある古いB450 Pro4の画面と現在の画面が完全に同じとは限りません。

ASRock自身も製品ページで、UEFI画面の画像は参考例であり、更新されたソフトウェアバージョンによって実際のユーザーインターフェースが異なる場合がある旨を示しています。[参照：ASRock「B450 Pro4」]

したがって、ネットの記事に書かれている設定値をそのままコピーするのではなく、現在インストールされているBIOSバージョンを確認し、そのバージョンと公式マニュアル・サポート情報を照合してください。

Secure BootにはPK・KEK・DB・DBXなどの鍵とデータベースがある

Secure Bootは「Enabled／Disabled」という一つのスイッチだけで動いているわけではありません。Microsoftの説明では、Platform Key（PK）、Key Enrollment Key（KEK）、許可された署名を格納するDB、拒否された署名を格納するDBXなどによって信頼関係が構成されています。

そのためUEFI画面によっては「Install default Secure Boot keys」「Restore Factory Keys」「Key Management」などの項目が用意されていることがあります。

ただし、Secure Bootで起動できないからといって、いきなり鍵を削除したり手動登録したりするのはおすすめできません。鍵管理は起動時の信頼関係そのものに関わるため、設定を誤るとかえって原因を複雑にします。

「Restore Factory Keys」を何となく実行するのは避ける

Secure Bootの解説を見ると「工場出荷時の鍵をインストールすれば直る」と説明されることがあります。実際に鍵が未登録であることが確認できた場合には有効な可能性がありますが、すべての起動トラブルに適用できる万能な操作ではありません。

特に2026年はSecure Boot証明書が2011年版から2023年版へ移行している時期です。ファームウェアの工場出荷時状態がどの証明書を含むかはPCやBIOSによって異なります。

まずWindows セキュリティで証明書更新状態を確認し、Windows Updateとマザーボードのファームウェアを確認してから判断するほうが安全です。

Secure Bootを無効のままWindows Updateを確認する

Secure Bootを無効にすればWindowsが安定して起動できるなら、まずその状態で重要なデータをバックアップし、Windows Updateを確認します。

2026年8月のMicrosoft公式情報でも、新しいSecure Boot証明書はWindows Updateを通じて今後も展開されると案内されています。[参照：Microsoft「2026年8月11日 Windows 11更新」]

更新後は再起動し、「Windows セキュリティ」→「デバイス セキュリティ」→「Secure Boot」で表示される情報を確認します。証明書に関して「操作が必要」と表示されている場合は、Microsoftが示す案内を優先します。

Windows セキュリティに表示される証明書ステータスの見方

Microsoftは2026年からSecure Boot証明書について複数の状態をWindows セキュリティへ表示しています。新しい証明書がすべて適用済みなら、必要な証明書更新が完了しており追加変更は不要という内容が表示されます。[参照：Microsoft「Secure Boot certificate update status」]

Secure Bootは有効でも古いブート信頼構成の場合は、最新のWindows Updateをインストールするよう案内されます。また古い証明書を期限後も使用している状態では、追加のガイダンスを確認するよう表示される場合があります。

Secure Bootを現在無効にしている場合は、そのこと自体を警告する表示になる可能性があります。そのため「無効」という表示と「証明書が不足している」という表示を混同しないことが重要です。

Secure Bootを有効にすると黒画面になる場合はグラフィック側も候補

Secure Bootを有効にするとメーカーのロゴ後に画面が真っ黒になる場合、Windows Boot Managerだけでなく、UEFI起動中に使用されるグラフィックカードのOption ROMなども確認対象になります。

MicrosoftのSecure Boot構造では、第三者のUEFIアプリケーションやOption ROMの署名も信頼関係に関わります。2026年の証明書移行でも、Microsoft UEFI CA 2023とMicrosoft Option ROM UEFI CA 2023が別々の用途として説明されています。[参照：Microsoft「Secure Boot certificate expiration and CA updates」]

古いグラフィックカードや特殊な拡張カードを使用している場合は、マザーボードだけでなく、それらのUEFI対応状況も確認材料になります。ただし、画面が黒いという症状だけでGPUを原因と断定することはできません。

Windows Boot Managerが起動先として表示されているか確認する

UEFIのBoot画面では、Windowsが入っているSSDそのものの名称だけでなく「Windows Boot Manager」が起動候補として表示される場合があります。

UEFIでインストールされたWindows 11では、通常はWindows Boot Managerを経由して起動します。CMOS設定が変わったあと、起動順序が別のドライブへ変更されていないか確認してください。

複数のSSDや以前Windowsを入れていたドライブが接続されているPCでは、起動先が変化すると分かりにくい症状になることがあります。

BitLocker・デバイス暗号化を使っている場合は回復キーを確認してからBIOSを触る

Secure Boot、TPM、UEFIなどの設定を変更すると、環境によってはBitLockerやWindowsのデバイス暗号化が変更を検知し、次回起動時に回復キーを要求することがあります。

そのためSecure Boot関連の設定を繰り返し変更する前に、デバイス暗号化またはBitLockerを使用していないか確認し、使用している場合は回復キーを確実に確認できる状態にしておきましょう。

Windowsが現在起動できているなら、重要ファイルのバックアップもこの段階で行っておくのが安全です。起動トラブルの調査では「今は起動できる」という状態を大切にする必要があります。

BIOSアップデートは最後のほうで検討する

古いBIOSを使用している場合、Secure BootやWindows 11との互換性改善を目的としてBIOS更新が有効なケースがあります。B450 Pro4についてもASRock公式ページからBIOS情報を確認できます。[参照：ASRock「B450 Pro4」公式サポート]

ただしBIOS更新は、単なるWindowsアプリのアップデートとは異なります。更新中に電源が切れるなどすると起動不能になる危険があり、CPU世代などによって注意事項が設けられている場合もあります。

「最新BIOSにすればとりあえず直るだろう」という理由だけで実施せず、現在のBIOSバージョン、CPU、ASRockが示す更新内容と注意事項を確認したうえで判断してください。

今回のような症状でおすすめの確認順序

Secure Bootを無効にすればWindows 11が起動する状態なら、いきなりCMOSクリアやSecure Boot鍵削除を繰り返すのではなく、次の順番で確認すると原因を切り分けやすくなります。

1. Secure Boot無効のままWindows 11を起動する
2. 重要データをバックアップする
3. 「msinfo32」でBIOSモードとセキュア ブートの状態を確認する
4. Windows セキュリティ→デバイス セキュリティ→Secure Bootを確認する
5. 利用可能なWindows Updateを適用する
6. 現在のWindows 11のバージョンを確認する
7. 管理者PowerShellで「Confirm-SecureBootUEFI」を確認する
8. BitLocker／デバイス暗号化の有無と回復キーを確認する
9. BIOSへ入り、Windows Boot Managerと起動順序を確認する
10. CSMやSecure Bootの現在値を写真に残す
11. Secure BootのKey Managementで鍵が未登録になっていないか確認する
12. B450 Pro4のBIOSバージョンとASRock公式情報を確認する

この段階まで確認すれば、「Windows側のSecure Boot証明書更新」「UEFI設定」「Secure Boot鍵」「起動方式」のどこをさらに調べるべきか判断しやすくなります。

やらないほうがよい対処

起動できる状態が残っているときほど、複数のBIOS設定を一度に変更しないことが重要です。「CSMを変更」「Secure Boot鍵を削除」「TPMをクリア」「BIOS更新」をまとめて実行すると、何が原因だったのか分からなくなります。

特にTPMのクリア、Secure Bootキーの削除、ディスクのパーティション操作などは、単なる確認作業ではありません。暗号化や起動環境へ影響する可能性があります。

まず情報を確認し、記録してから一項目ずつ変更することが、起動トラブルでは非常に大切です。

具体例：BIOSモードがUEFI、Secure Bootだけ無効の場合

例えばmsinfo32で「BIOSモード：UEFI」「セキュア ブートの状態：無効」と表示され、Windows自体は正常に起動しているとします。この場合、WindowsはすでにUEFIで起動しているため、レガシーインストールそのものが主原因である可能性は低くなります。

次にWindows セキュリティでSecure Boot証明書の更新状況を確認し、Windows Updateを最新にします。その後、B450 Pro4側のSecure Boot鍵・設定を確認します。

Secure Bootを有効にした瞬間だけ起動できなくなるのであれば、その状態を記録し、設定を無効へ戻してWindowsを起動できる状態へ復帰させます。原因が分からない段階で鍵を削除する必要はありません。

具体例：BIOSモードがレガシになっていた場合

msinfo32でBIOSモードが「レガシ」と表示される場合は注意が必要です。この環境でBIOSからSecure Bootを強制的に有効にしようとしても、現在のWindows起動方式と整合しない可能性があります。

この場合はディスクがMBRかGPTか、Windowsがどのようにインストールされたかなどを調べる必要があります。Secure Bootだけをオン・オフする問題ではなくなります。

重要なデータが入っているPCなら、パーティション変換などを自己判断ですぐ実行せず、バックアップを取ったうえでPCメーカーや詳しい技術者へ相談するほうが安全です。

具体例：Windows セキュリティで古い証明書構成と表示された場合

2026年のWindows セキュリティで「Secure Bootはオンだが、デバイスが更新すべき古いブート信頼構成を使用している」といった内容が表示された場合、Microsoftは最新のWindows Updateを適用するよう案内しています。[参照：Microsoft「Secure Boot certificate update status」]

この場合も、最初からUEFIの証明書を手作業で編集するのではなく、MicrosoftとPC／マザーボードメーカーが提供する更新を優先します。

Microsoftは一般ユーザー向けPCについて、新しいSecure Boot証明書をWindows Updateで自動的に展開しています。メーカー側のファームウェア更新が必要になる機種もあるため、ASRockのサポート情報も併せて確認します。

「Secure Bootを切れば起動する」ことは重要な診断材料

Secure Bootを無効にすると毎回Windowsが正常起動し、有効にすると毎回同じ場所で停止するのであれば、Secure Bootの有効化によって変わる起動時検証が症状に関係している可能性は高くなります。

ただし、それは「Secure Boot証明書の期限切れが原因」と同義ではありません。Secure Bootの鍵、CSM、Option ROM、Windows Boot Manager、UEFI設定など複数の要素が関係します。

原因究明では「Secure Boot ONで再現する／OFFで再現しない」という事実を記録し、そこから一つずつ条件を絞ることが重要です。

6年使用したPCならCMOS電池以外の経年変化も考える

6年間安定して使用していたPCで突然起動トラブルが発生した場合、CMOS電池の消耗は十分考えられます。しかし、SSD、電源、メモリー、グラフィックカードなども同じ期間使用されていることを忘れてはいけません。

今回のようにSecure Bootのオン・オフで明確に症状が変わるなら、まずSecure Boot関連を調べるのは合理的ですが、それだけですべてのハードウェア故障を否定できるわけではありません。

起動後にフリーズする、SSDが消える、再起動する、画面にノイズが出るなど別の症状もある場合は、ハードウェア診断も並行して検討します。

まとめ：まずWindows上でSecure Bootと証明書の状態を確認し、CMOSクリアとWindows Updateを分けて考える

Windows 11でSecure Bootを有効にするとメーカーのロゴ後に画面が真っ黒になり、無効にすると正常起動する場合は、Secure Bootに関連する設定が症状へ関与している可能性があります。しかし、それだけで2026年の証明書期限切れが原因と断定することはできません。

まずSecure Bootを無効にしたままWindowsを起動し、「msinfo32」でBIOSモードとセキュア ブートの状態を確認します。管理者PowerShellでは「Confirm-SecureBootUEFI」によって有効・無効を確認できます。[参照：Microsoft Learn「Confirm-SecureBootUEFI」]

さらに2026年のWindows 11では「Windows セキュリティ」→「デバイス セキュリティ」→「Secure Boot」で証明書更新状況を確認できる環境が順次展開されています。Microsoftは2011年版Secure Boot証明書から2023年版証明書への移行を進めているため、Windows Updateを最新にすることも重要です。[参照：Microsoft「Secure Boot certificate update status」]

一方、CMOS電池を交換したりCMOSをクリアしたりしても、SSDにインストール済みのWindows Updateが削除されるわけではありません。影響を受ける可能性があるのは、時計やブート順序、CSM、Secure Bootなどマザーボード側の設定です。

また、電池を抜いてすぐ新しい電池を入れたことだけをもって「完全にCMOSクリアされた」とは断定できません。B450 Pro4を明示的にCMOSクリアする場合はASRock公式マニュアルの手順を使用してください。[参照：ASRock「B450 Pro4」]

2026年のSecure Boot証明書問題についても、Microsoftは古い証明書が期限を迎えても更新未適用のPCが直ちに起動不能になるわけではなく、Windowsは引き続き起動し通常の更新も受信すると説明しています。問題は、今後の新しいブートレベルのセキュリティ保護を受け続けるために2023年版証明書への更新が必要になることです。[参照：Microsoft「When Secure Boot certificates expire on Windows devices」]

したがって、安全な確認順序は「Secure Boot無効でWindowsを起動してバックアップ→msinfo32でUEFIか確認→Windows セキュリティで証明書状態を確認→Windows Updateを最新化→BitLocker回復キーを確認→B450 Pro4のWindows Boot Manager・Secure Boot・CSM・鍵の状態を確認」です。現在Windowsが起動できる状態なら、Secure Bootキー削除、TPMクリア、パーティション変更などを急いで行わず、一項目ずつ原因を切り分けるのが最も安全です。