Windows Updateの証明書が2027年に切替 対応が要る版と期限の一覧

Windows Updateが端末とマイクロソフトのサーバーを結ぶときに使う証明書が、2027年5月17日と6月19日に期限を迎えます。マイクロソフトは2026年10月8日(米国時間)に、Windows IT Pro Blogで準備を呼びかけました。多くの端末は月例の更新で済みますが、一部の版は情シスの対応が要ります。

日本での提供の状況は、発表に書かれていません。証明書の切り替えはWindows Updateの仕組みの話で、日本の端末も同じ表の対象になります。

何が起きるのか

マイクロソフトの説明では、Windows Updateは証明書による信頼で、端末が本物のWindows Updateのサーバーにつながっていることを確かめています。証明書には有効期限があり、期限が来る前に新しい証明書へ入れ替えます。その一部が2027年5月17日と6月19日に切れます。

While Microsoft is delivering solutions for most devices through normal monthly updates, some Windows versions will need IT action. If unaddressed, affected devices will stop connecting and receiving all types of updates from Windows Update.

対応が要る端末で何もしないと、品質更新だけでなく、すべての種類の更新が届かなくなります。新しい証明書は、表に書かれた月例の更新に入っています。つまり、期限までにその更新を入れておけば、切り替えの日も止まりません。

版ごとの対応と期限

マイクロソフトが示している表です。年と月は原文のとおりに載せています。

日本語にすると、次のとおりです。

LTSCは、機能を増やさず長く使うための長期サービスの版です。工場の制御機や専用機に入っていることが多く、期限が他の行より1か月早い点に注意してください。

影響する会社・しない会社

影響する:

• Windows 11 24H2とWindows Server 2025を使い、2025年9月の更新より前で止まっている端末がある会社
• サポート中のWindows 11の古い版、Windows Server 2022、サポート中のWindows 10で、2026年7月の更新を入れていない端末がある会社
• Windows 10 Enterprise 2019 LTSC、Windows Server 2019、Windows Server 2016がある会社(期限は5月17日)
• サポートが終わった版の端末が残っている会社。表の下の行にあたり、Windows Updateを使えなくなると書かれています
• 業務アプリの都合で更新を止めている端末、長くつなげていない端末、古いイメージから作った端末がある会社

影響しない:

• Windows 11 25H2以降だけを使っている会社
• 対象の版でも、すでに表の更新以降を入れてある端末だけの会社。マイクロソフトは、こうした端末は中断なく更新を受け続けると説明しています
• 更新をWSUSから受けている端末(発表に、WSUSから更新を受ける端末には当てはまらないと書かれています)

24H2のHome・Proは、2026年10月13日で更新の提供が終わります。この日以降の24H2のHome・Proが表のどの行にあたるかは、発表に書かれていません。表の最後の行は「サポート外の版」と書いているため、サポートが終わった版はこの行に近いと読めます。これは編集部の読みで、確定ではありません。移行の進め方は、Windows 11 26H2の配信開始 情シスの確認項目と社員へのお知らせ文例に書きました。

更新が遅れている端末への対処

マイクロソフトは、サポート中の版でも更新が遅れている端末は、5月と6月の期限の後でWindows Updateを使えなくなると説明しています。表の更新には新しい証明書が入っているので、次のどちらかで入れます。

• Microsoft Update Catalogから、必要な更新を直接ダウンロードして入れる
• 普段使っている管理ツールで配る

サポートが終わった版は、更新を入れても解決しません。サポート中の版へ移す計画を、期限の前に作るよう案内されています。

Windows 10の端末

表には「Windows 10 versions in support」の行があります。ESU(拡張セキュリティ更新。サポート終了後も有料でセキュリティ更新を受け取れる契約)を契約している端末がこの行に入るかは、発表に書かれていません。ESUの契約状況と合わせた判断は、マイクロソフトの案内か販売元に確かめてください。ESUの期限と費用は、Windows 10法人ESUは10月13日で1年目終了 2年目を買うか移行かにまとめています。

Windows Server 2016と2019

Windows Server 2016はLTSB・LTSCの行にあり、期限は5月17日です。Server 2016のサポート終了は2027年1月12日で、移行の段取りはWindows Server 2016は1月12日終了 ファイルサーバー移行手順にあります。ESUで延ばす場合を含め、この証明書の対応との関係は発表に書かれていません。

WSUSとIntuneで違うこと

発表に書かれているのは、次の1点です。WSUS(Windows Server Update Services。社内のサーバーで更新を配る仕組み)から更新を受ける端末には、この件は当てはまりません。

Intune、Windows Update for Business、Configuration Managerなど、WSUS以外の管理ツールについて、発表は個別に書いていません。書かれているのは「普段の管理ツールで配ってよい」という範囲だけです。そのため、次のように整理しておくと迷いません。

プロキシやTLSの検査など、通信の設定について、発表に書かれていません。この件を確かめる方法(端末で証明書を調べる手順など)も、発表には書かれていません。確かめる方法は、更新の適用日を見るのが確実です。

情シスが今日やること

1. 端末の台帳か管理画面から、Windowsの版と、直近の月例更新の適用日を一覧にする(下の確認表を使う)
2. 24H2、サポート外の版、LTSC、Server 2016・2019を数え、5月17日のグループと6月19日のグループに分ける
3. 更新を止めている端末、長くつなげていない端末、古いイメージから作る端末を洗い出し、更新を入れる担当と日を決める
4. WSUSで配っている端末と、直接Windows Updateにつながる端末を分けて数える
5. サポートが終わった版は、入れ替えか移行の計画を、2027年の2つの期限より前に作る

確認表 版と更新の状況の一覧

台帳に次の列を作ると、どの端末が表のどの行にあたるかが分かります。台帳の雛形は、次のテンプレートが使えます。

端末のタイプ別の注意

業務アプリの都合で更新を止めている端末は、止めている理由を一度見直します。月例更新を止めたままだと、証明書の件に限らず、期限が来る前に更新を入れ直す作業が必要です。端末ごとに止めている期間を台帳に書き、期限から逆算して再開の日を決めましょう。

オフラインの端末は、Microsoft Update Catalogから必要な更新を取り、媒体で配る方法が使えます。ただし、Windows Updateにつながらない端末は、期限が切れても今は困らないように見えます。後から社内の別のネットワークにつなぐと、更新が受け取れなくなっていることに気づくため、期限の前に更新を入れておきます。

イメージから端末を作る会社は、元のイメージに表の更新が入っているかを確かめます。古いイメージで作った端末は、最初から更新が遅れた状態になります。イメージを作り直す日と、すでに配った端末への更新を、別の作業として管理してください。

期限までの段取り(編集部の整理)

次の表は、マイクロソフトが示した期限から逆算した編集部の例です。発表に書かれている段取りではありません。

マイクロソフトは、今から更新をそろえておくと、期限後の更新の中断、セキュリティやコンプライアンスのリスク、直前の対応を避けられると説明しています。年末年始や決算期の前に済ませておくと、期限の直前の作業が重なりません。