数日前、 Linux shim レイヤーのデジタル署名に使用されている Microsoft 証明書が今月末（2026 年 6 月）で期限切れになるというニュースが流れました。これは、UEFI セキュア ブートが有効になっているシステムで、Fedora、Ubuntu、openSUSE などの最新の Linux ディストリビューションが起動するために不可欠なコンポーネントであるため、このニュースが懸念を引き起こしたのも当然です。しかし、Fedora の開発者たちはこの件について非常に明確な見解を示しており、パニックになる必要はなく、コンピュータは引き続き正常に起動するとしています。
Linuxが大規模にシャットダウンされない理由を理解するには、信頼の連鎖がどのように機能するかを理解する必要があります。ブートプロセス中、UEFIシステムは証明書の有効期限切れをチェックしません。UEFIシステムの唯一の関心事は、暗号署名が有効であること、および鍵が侵害によって明示的に失効されていないことを検証することだからです。2011年の証明書の有効期限切れは、Microsoftがブートローダーの新しいバージョンに署名するためにその証明書を使用できなくなることを意味するだけです。
2023年の新キーへの移行
互換性を維持し、Linuxシステムが最新のハードウェアにインストールできるようにするため、マイクロソフトは2023年に新しい証明書を発行しました。この新しいキーへの移行は、ユーザーには全く意識されないように設計されています。
現在、Fedora Rawhide（次期Fedora 45のベース）などのリポジトリには、既に二重署名されたshimブートマネージャが含まれています。これは、2011年と2023年の両方のキーで認証されていることを意味し、新しいキーを知らない古いコンピュータと、既に新しいキーがプリインストールされている最新のマザーボードの両方との互換性を保証します。将来的には、shimの将来のバージョンは2023年のキーのみで署名されるようになります。
真の脆弱性：危険は古いコードにある
実際にシステムの起動を妨げるのは、証明書の有効期限切れではなく、 UEFI証明書失効リスト（DBXとして知られる）による失効です。最近公開されたセキュリティレポートでは、セキュアブート保護を回避して攻撃者が悪意のあるコードを実行できる2つの重大な脆弱性（CVE-2026-8863およびCVE-2026-10797）が詳細に報告されています。
幸いなことに、これらの脆弱性は、非常に古いバージョンのシム（2016年以前に作成されたバージョン0.9以前）にのみ影響します。これらの脆弱なレイヤーの署名は、禁止署名データベース（DBX）に追加されています。非常に古いシステム（CentOS 7.2やRHEL 7.2など）を使用しており、UEFIデータベースが更新されている場合、セキュリティ上の理由からコンピュータは起動しません。
何をすべきか（そして何をすべきでないか）？
有効期限切れによって現在のシステムが動作しなくなることはありませんが、開発者はファームウェアのキーデータベースを更新して新しい2023年のキーを取得し、将来に備えることを強く推奨しています。デバイスの状態を確認するには、以下のコマンドを使用してください。
UEFIを使用しているか、BIOS（レガシー）を使用しているかを確認してください。
[[ -d /sys/firmware/efi ]] || echo BIOS
セキュアブートが有効になっているか確認してください。
mokutil --sb-state
ファームウェア内の公開鍵の一覧：
mokutil --db --short （ここには2011年のキーが表示され、最新の状態であれば2023年のキーも表示されるはずです。）
ファームウェアとキーを自動的に更新します。
sudo fwupdmgr update （Linuxベンダーファームウェアサービスからアップデートをダウンロードしてください。）
お使いのシムがどのキーで署名されているかを確認してください（pesignパッケージが必要です）。
sudo pesign -S -i /boot/efi/EFI/fedora/shimx64.efi
最後に、Fedoraの開発者たちが警告を発していることを述べておく価値がある。
さらに詳しく知りたい場合は、以下のリンクから詳細をご確認いただけます。