Windows Server 2025を運用するドメインコントローラー（DC）が突然の再起動ループに陥るという深刻な障害が報告され、Microsoftは2026年4月、帯域外（Out-of-Band）パッチKB5091157を緊急リリースした。しかし今回の騒動で見逃してはならない点がもう一つある。同パッチのリリースに合わせて公表された「Secure Boot証明書の2026年6月失効問題」だ。複数のリスクが同時に浮上した今、Windows Server環境の管理者は即刻対応を検討する必要がある。

DCが再起動ループに陥ることの深刻さ

今回問題となったのは、Windows Server 2025のドメインコントローラーが特定のパッチ適用後に再起動ループへ陥る現象だ。Active Directoryの根幹を担うDCがループ状態に入ると、認証インフラ全体が機能を失う。VPNや内部サービスへのログインから、グループポリシーの適用まで、ほぼすべての業務が止まる可能性がある。

KB5091157はこの再起動ループを修正するための緊急パッチだ。通常の月例更新（Patch Tuesday）とは別に、OOBとして単独リリースされた点からも、Microsoftがこの問題を深刻視していたことが伝わる。OOBパッチは「待てない」と判断された際にのみ出てくるものであり、そのシグナルを軽く見てはいけない。

同時に判明したSecure Boot証明書の失効問題

さらに見過ごせないのが、パッチと合わせて公表されたSecure Boot証明書の失効問題だ。現在多くのデバイスで使用されているSecure Boot証明書の一部が、2026年6月に失効する予定だ。これが適切に更新されないまま放置されると、そのデバイスは起動時にSecure Bootの検証を通過できなくなるリスクがある。

Microsoftはこのリスクへの対応として、Windows Securityアプリに緑・黄・赤のバッジでSecure Bootの状態を視覚的に示す新機能を追加した。

  • 🟢 緑：証明書は有効、問題なし
  • 🟡 黄：要注意、確認が必要
  • 🔴 赤：証明書失効リスクあり、対応必須

この信号機式の表示は、技術に詳しくないユーザーでもリスクを認識しやすくする工夫として評価できる。ただし、表示を見ても「何をすればいいか」が分からなければ意味がない。企業環境では管理者が主体的にデバイス状態を把握し、Windows Updateの適用状況を確認する責任がある。

実務への影響：IT管理者が今すぐやるべきこと

ドメインコントローラーへの対応

Windows Server 2025のDCを運用している場合、KB5091157の適用は急務だ。ただし、DCへのパッチ適用は「全台同時」ではなく、段階的に行い適用後の動作確認を挟む運用を強く推奨する。再起動ループが発生する前に手を打つことと、適用自体でトラブルが起きないかを確認することを両立させる必要がある。

Secure Boot証明書の確認ステップ

  • Windows Securityアプリでデバイスの状態バッジを確認する
  • 企業環境ではMicrosoft IntuneやSCCMなどの構成管理ツールを使って一括でデバイス状態を把握する
  • 黄・赤のデバイスはWindows Updateの完全適用状況を確認し、最新の証明書更新パッチが当たっているかを検証する
  • 2026年6月より前に全デバイスへの対応を完了させるスケジュールを今から立てる

特に古いUEFIファームウェアを持つデバイスや、長期間Windows Updateを停止・遅延させてきた端末は優先的にチェックすべきだ。「今動いているから大丈夫」という姿勢が最も危険なのは、こういった期限付きの問題が仕掛けられているケースだ。

筆者の見解

今回気になるのは、「再起動ループの修正」と「Secure Boot証明書失効」という2つの問題が同じタイミングで出てきたことだ。どちらも単独では対処できる問題だが、インフラ担当者が片方に集中している間にもう片方を見落とすリスクがある。情報を整理して優先度をつける判断力が、今まさに問われている。

Secure Boot証明書の失効は、2026年6月という期限がはっきりしている点でむしろ対応しやすい。Windowsのセキュアブートはブートキットやルートキットに対する防御の最前線であり、ここが機能しなくなることの意味は決して小さくない。この方向性、つまりブートレベルのセキュリティを継続的に強化していくMicrosoftの取り組みは正しいと思っている。

その一方で、月例パッチに加えてOOBが出るたびに管理者が追加判断を迫られる状況については、率直に言って「もったいない」と感じる。これだけの技術基盤を持っているのだから、パッチの品質管理と展開の仕組みでもっと現場を楽にできるはずだ。現場の管理者が振り回されるのではなく、Microsoftの技術力をもっと信頼して委ねられる環境を作ってほしい——それが応援する立場からの率直な期待だ。

いずれにせよ、Secure Boot証明書の失効期限は待ってくれない。今日のうちにカレンダーに「2026年6月 Secure Boot証明書確認」を入れておくことを強くお勧めする。

出典: この記事は KB5091157 April 2026 Out-of-Band Fix for Windows Server 2025 Reboot Loops の内容をもとに、筆者の見解を加えて独自に執筆したものです。