Microsoftが「Windowsコード署名」の更新を発表 IT部門が事前に確認すべき対策は：ITニュースピックアップ

MicrosoftがWindowsのコード署名基盤更新を発表した。2026年10月のCA失効や2027年のPQC移行に伴い、証明書や暗号方式を固定しているアプリで障害が生じる恐れがある。IT部門が事前に確認すべき対策を解説する。

[ITmedia]

　Microsoftは2026年8月20日（現地時間）、Windowsのコード署名基盤を更新する方針を公表した。現行の認証局「Microsoft Windows Production PCA 2011」が2026年10月19日に有効期限を迎えるためで、数週間以内に後継CAへの切り替えを開始する。

　同社はこれを皮切りにコード署名の強化を段階的に進める計画だ。2026年末までに「RSA-3072」や「SHA-384」などのより強固な構成へ移行し、2027年には耐量子暗号（PQC）標準への移行を予定している。PQC移行では新たなアルゴリズムやハイブリッド構成の採用、環境変化に応じた迅速な仕様変更が見込まれるため、アプリ側には特定方式に依存しない設計が求められる。

証明書や暗号の「固定」が引き起こす互換性障害のリスク

　検証段階において、Windows側が「信頼済み」と判定したファイルであっても、証明書やアルゴリズムの変更に伴い正しく動作しなくなるアプリが確認された。主な問題例は以下の通りだ。

• 特定の暗号方式（SHA-256、RSA-2048など）の必須化
• Microsoftの証明書サブジェクト、発行者、拇印、シリアル番号、中間CAなどの固定
• 複数バイナリ間における証明書チェーンの一致を信頼条件とする実装
• Authenticode署名や証明書チェーンの独自解析
• 証明書の更新が反映されない独自のトラストストア運用

　これらはWindows標準の信頼判定を拒否する要因となり、暗号強化やPQC移行を阻害するリスクがある。

IT部門が講じるべき予防策

　Microsoftは開発者やIT管理者に対し、証明書の個別の識別情報ではなく署名全体の信頼性を確認するため、WinVerifyTrust や CryptoAPI、Crypt32 といったWindows標準のAPIを利用するよう促した。明確な対応契約がない限り、特定のCAや証明書情報、チェーン一致を必須条件としてはならない。

　合わせて、後継の証明書階層や強化後の署名構成（SHA-384など）での事前検証と、独自トラストストアの更新手順の整備を求めている。またIT管理者に対しても、調達元・供給元のソフトウェアが標準APIを利用しているか、CA固定がないか、PQC対応計画が存在するかなどを確認するよう呼びかけている。