NUC8i7HVK（Hades Canyon）のセキュアブート証明書の警告を解消した記録

はじめに

Windowsセキュリティの「セキュアブート」の欄に、こんな警告が出ていました。

セキュア ブートはオンになっていますが、ハードウェアまたはファームウェアの制限により、デバイスはセキュア ブート証明書の自動更新をサポートしていません。デバイスの製造元に問い合わせてください。

使っているのはIntelの小型PC「NUC8i7HVK」（Hades Canyon）です。ネットで記事を探してみたものの、結局どうすればいいのかよく分かりませんでした。そこで自分で調べて対応し、警告を消すところまでできたので、その記録をまとめます。作業したのは2026年10月です。

警告の意味

セキュアブートは、Windowsが起動する前に「信頼できる署名が付いたソフトだけを動かす」ための仕組みです。その判定に使う証明書のうち2011年版のものが、2026年6月から順に期限切れになります。そこでMicrosoftはWindows Updateで新しい証明書を配っています。

今回の警告は「Windowsは新しい証明書を入れたいけど、PC側が対応していない」という意味でした。Microsoftのサポート記事によると、放置した場合は次のようになります。

• PCはこれまでどおり起動できる
• 毎月のWindows Updateも入り続ける
• ただし、Windowsより先に動くマルウェアへの新しい対策は入らず、少しずつ守りが弱くなる

つまり、すぐに困る話ではありません。対処は「PCメーカーのファームウェア更新を確かめる」ことで、セキュアブートを無効にするのは非推奨と書かれています。

参考：セキュア ブート証明書を更新できない場合（Microsoft サポート）

うちのPCの状態を調べる

まず、Win + R で msinfo32 を開き、機種とBIOSのバージョンを確認しました。

項目	表示
システム製造元	Intel(R) Client Systems
システムモデル	NUC8i7HVK
BIOSバージョン	HNKBLi70.86A.0067（2021/05/28）

IntelのNUC事業は今はASUSに移っていて、サポートページもASUSにあります。NUC8i7HVKのページを見ると、BIOSは0070が最新でした。さらに、2026年8月27日付けで「NUc 8 Series Secure Boot Keys」というツールが出ていました。説明文はありませんが、名前からしてセキュアブートの鍵の更新ツールです。

• ASUS NUC8I7HVK サポート（BIOS & FIRMWARE）

やることは、BIOSを0070に上げてから、このツールで鍵を更新する、の2段階になりました。

BIOSを0067から0070に更新する

作業前に、BitLockerが無効になっていることを確認しました。暗号化していると、BIOSやセキュアブートの鍵を触ったあとに回復キーを求められることがあるためです。

ASUSから「BIOS Update 0070 for NUC8i7HNK / NUC8i7HVK」をダウンロードして展開すると、フォルダが4つ入っていました。

フォルダ	中身	使い道
BIO	HN0070.bio、UefiFlash.efi、UEFI用のzip	UEFI Shellから更新するとき用
BIOFILE	HN0070.bio	F7や電源ボタンメニューから更新するとき用
EBU	―	Windows上で更新するとき用
DOC	―	説明書など

.bioファイルが2か所にあって迷いましたが、BIOFILEのほうをFAT32のUSBメモリに入れ、起動時にF7を押して更新したら、問題なく適用できました。

更新後、msinfo32のBIOSバージョンは「HNKBLi70.86A.0070.2022.1103.1527（2022/11/03）」になりました。ASUSのページでは0070の日付が2024/01/26ですが、BIOS自体の日付は2022年11月でした。事業移管のときにファイルを置き直した日付だと思います。

IntelとASUSは、BIOS更新の方法をいくつか案内しています。

• BIOS Update and Recovery Instructions for Intel NUC with Visual BIOS（Intel）
• Updating NUC BIOS with Visual BIOS Using the F7 Menu（ASUS）

ASUSの公式ツールで鍵を更新する

中身とハッシュの確認

「NUc 8 Series Secure Boot Keys」を展開すると、次のファイルが入っていました。

• UpdateSecBootKeys.bat（更新用のバッチファイル）
• NEwPK、NEwKEK、NEwdb、NEwdbx（書き込む鍵）
• User_Guide.pdf（手順書）

NEwKEKにはMicrosoftの新しい鍵「Microsoft Corporation KEK 2K CA 2023」が入っています。セキュアブートの鍵を書き換えるツールなので、実行前にダウンロードしたzipのハッシュがASUSのページのSHA-256と一致するか確かめました。

Get-FileHash .\UpdateSecBootKeys.zip

結果は B70536CD88EC6636877F85400C104DE547970B0E8FE3B07BDBB426084C884722 で、一致していました。

更新の流れ

手順はUser_Guide.pdfのとおりです。

1. UpdateSecBootKeys.batを右クリックして「管理者として実行」
2. 今の鍵の一覧が表示されるので確認して「Y」。ここで今の鍵が .BAK ファイルにバックアップされる
3. 自動でBIOS設定が開くので、Boot → Secure Boot →「Clear Secure Boot Data」を選んでF10
4. Windowsにログインするとツールが自動で再開し、書き込む鍵を選ぶ（A/P/K/D/X）
5. 書き込みが終わるともう一度BIOS設定が開くので、そのままF10
6. 最後に「SUMMARY」が表示されたら完了

手順4の選択肢はガイドに書かれていません。私は「A（PK・KEK・db・dbxの4つすべて）」を選びました。

手順2では、Yを押した瞬間に再起動が始まります。画面を残したい人はYを押す前にスクリーンショットを撮っておいてください。

更新前と更新後

更新前の一覧を見ると、dbには2023年版の証明書がすでに入っていました。足りなかったのはKEKの2023年版で、これが警告の原因だったようです。

鍵	更新前	更新後
PK	Intel(R) Desktop Boards	ASUS PK Certificate
KEK	Microsoft Corporation KEK CA 2011 のみ	ASUS KEK Certificate、Microsoft Corporation KEK 2K CA 2023、Microsoft Corporation KEK CA 2011
db	2011年版、CISD FW Update、2023年版3つ	ASUS UEFI SW Key、2011年版、2023年版3つ

SUMMARYでは Secure Boot Enabled : 1、Secure Boot Setup Mode : 0 と表示され、Windowsセキュリティの「デバイス セキュリティ」も緑のチェックに変わりました。

ちなみに、書き込みが終わって再起動する前にmsinfo32を見たら、「セキュア ブートの状態」が「無効」になっていました。再起動していなかっただけで、再起動してSUMMARYが出たあとは「有効」になっています。確認はSUMMARYが出るまで待つのがよさそうです。

dbxの件数の変化

あとから気づいたのですが、「A」を選ぶとdbxもASUS同梱のものに置き換わります。dbxは脆弱性のあるブートローダーなどを起動させないためのブロックリストです。

ツールが作ったバックアップ（Dbx.BAK）と、同梱のNEwdbxを比べた結果です。

ファイル	サイズ	登録件数
Dbx.BAK（作業前）	24,192バイト	497件
NEwdbx（ASUS同梱）	20,828バイト	431件

ASUS同梱版の431件はすべて作業前のdbxにも入っていて、作業前のほうが66件多い状態でした。Windows Updateで追加されていた分が、今回の更新で消えたようです。

うちでは今のところこのままにしています。これから作業する場合、「K（KEKだけ）」を選ぶと、足りないKEKだけが新しくなり、PK・db・dbxはバックアップから元に戻ります。ただし、私はKでは試していません。

まとめ

NUC8i7HVK（Hades Canyon）で出たセキュアブートの警告は、次の2つで消えました。

1. BIOSを最新の0070に更新する
2. ASUSが2026年8月に出した「NUc 8 Series Secure Boot Keys」で鍵を更新する

古い機種ですが、事業を引き継いだASUSが公式のツールを出していました。ただ、ページに説明文がなく、中身を開けるまで何のツールか分かりません。同じ警告で困っているNUC8シリーズの人は、一度ASUSのサポートページをのぞいてみてください。