「BlackX ブートキット」という名前を、海外のセキュリティニュースで見かけた方もいると思います。Secure Boot（セキュアブート）を有効にして、Windows Update も済ませたパソコンでもすり抜けた、という話です。見出しだけ読むと、自分のパソコンも危ないのではと落ち着かなくなります。
実際に狙われたのは中央アジアの外交機関で、攻撃者は先に相手のネットワークに入り込み、管理者の権限を取ってから BlackX を入れていました。家庭のパソコンを慌てていじる話ではありません。ただ、なぜ「更新済みでも」すり抜けたのかを知っておくと、Windows Update を止めないことと、出どころの分からないソフトに管理者の許可を出さないことの意味がよく分かります。
先に結論：BlackX ブートキットは、Secure Boot の古い穴（Baton Drop、CVE-2022-21894）を使って Windows より先に動くウイルスです。報じられている攻撃先は中央アジアの外交機関で、入れるには先にパソコンの管理者の権限が要ります。家庭のパソコンですることは、Windows Update を止めない、Secure Boot をオンのままにする、怪しいソフトを入れない、の 3 つです。
更新済みでもすり抜けたのは、古い証明書（Windows Production PCA 2011）を失効させる追加の手順が、更新を入れただけでは行われないためです。この手順は起動できなくなるおそれがあるので、家庭のパソコンで手作業で行うのはおすすめしません。
BlackX ブートキットとは何か。Kaspersky が 10 月に公表した分析
BlackX は、ロシアのセキュリティ企業 Kaspersky の研究チーム（GReAT）が 2026 年 10 月 22 日に分析を公開した、新しい UEFI ブートキットです。米国のセキュリティニュースサイト BleepingComputer が 10 月 24 日に報じたことで、日本でも名前が出回り始めました。
狙われたのは中央アジアの外交機関
まず、どこで何が起きたのかを、分析を出した Kaspersky の記事から要点だけ書きます。
2026 年のはじめ、タジキスタン・ウズベキスタン・トルクメニスタンの外交機関を狙った攻撃の中で、BlackX が見つかった。攻撃者は被害者のネットワークに侵入して管理者の権限を得たあとに BlackX を入れていた。Kaspersky はこの攻撃を、中程度の確度で APT41 という攻撃グループによるものとしている。
出典：Kaspersky（Securelist）「New BlackX UEFI bootkit exploiting Baton Drop」
入り込んだあとの動きも書かれています。不正なドライバーを Windows の中枢（カーネル）に送り込み、セキュリティソフトが使う監視の仕組みを止めたり、記録の仕組み（ETW）に細工をしたりする。そのうえで、Google Drive・OneDrive・Yandex.Disk を連絡に使う遠隔操作の部品などを動かします。見つからないようにすることに、かなりの手間をかけた作りです。
「ブートキット」とは — Windows より先に動くウイルス
名前に付いている「ブートキット」が、この話の怖さの元です。
用語：ブートキットとは、パソコンの電源を入れてから Windows が立ち上がるまでの「起動の途中」に入り込むウイルスのことです。Windows より先に動くので、Windows の上で動くセキュリティソフトからは見つけにくくなります。名前の UEFI は、いまのパソコンで起動を受け持つ仕組み（昔の BIOS に当たるもの）のことです。
Secure Boot は、これを防ぐための仕組みです。起動のときに、Microsoft などが署名した正規のプログラムだけを動かし、署名の無いものや禁止されたものは止める。BlackX は、この Secure Boot の確認そのものをすり抜ける穴を使いました。
なぜ BlackX ブートキットは更新済みの Windows をすり抜けたのか？
Kaspersky によると、被害を受けたパソコンは、どれも更新がすべて当たった Windows でした。それでもすり抜けられた理由は、古い穴の「塞ぎ方」にあります。
Baton Drop（CVE-2022-21894）と BlackLotus の前例
BlackX が使った Baton Drop は、新しい穴ではありません。2022 年 10 月からハッカーの掲示板で出回っていた BlackLotus というブートキットが、同じ穴で Secure Boot を回避していました。2023 年 3 月には ESET が、BlackLotus が当時の更新済み Windows 11 でも動くことを確かめています。BlackLotus のソースコードは 2023 年 7 月に GitHub に流出しましたが、中身は不完全でした。Kaspersky は BlackX の作りが BlackLotus と「非常によく似ている」とし、作者が BlackLotus を解析したか、ソースコードを手に入れたと見ています。
| 名前 | 何か | 今回との関わり |
|---|---|---|
| BlackLotus | 2022 年から出回るブートキット | Baton Drop を使った前例 |
| BlackX | 今回見つかったブートキット | 同じ穴を使う |
| CVE-2022-21894 | Baton Drop の番号 | 修正は出ている |
| CVE-2023-24932 | BlackLotus が使った別の回避 | KB5025885 の対象 |
| PCA 2011 | 古い起動プログラムの署名に使われた証明書 | 失効は追加の手順 |
古い証明書の失効は自動では行われない（Windows Production PCA 2011）
穴を直した新しい起動プログラムが配られても、古い起動プログラムにも Microsoft の正規の署名が付いています。署名に使われた古い証明書（Windows Production PCA 2011）を「使用禁止」の一覧（DBX）に入れないかぎり、攻撃者が古いほうを持ち込めば、Secure Boot はそれを正規のものとして通してしまいます。今回の要点はここです。
起動マネージャーを失効させる対策は、2024 年 7 月 9 日以降の Windows の更新に含まれているが、既定では有効になっていない。この穴を悪用するには、攻撃者がパソコンの管理者の権限を得るか、パソコンに物理的に触れる必要がある。
出典：Microsoft「KB5025885: How to manage the Windows Boot Manager revocations for Secure Boot changes associated with CVE-2023-24932」
Microsoft は、対応する機種で証明書を自動的に失効させる「強制の段階」を予定していて、KB5025885 では 2026 年 1 月より前には始めず、6 か月前までに告知するとしています。Kaspersky の分析が出た 10 月 22 日の時点では、この段階はまだ始まっていませんでした。
もう一つ、日付の話で混乱しやすい点があります。
ここ、見落としがちです：Windows Production PCA 2011 は 2026 年 10 月 19 日に有効期限を迎えました。ただし Kaspersky は、期限切れだけでは古い起動プログラムの読み込みは止まらず、使用禁止の一覧に入れないかぎり防げないと書いています。「期限が切れたからもう安全」とは読まないでください。
家庭のパソコンは今すぐ危ないのか？
ここまで読むと怖くなりますが、家庭のパソコンで慌てなくてよい理由は、ちゃんと出典の中にあります。一つは、報じられている攻撃先が中央アジアの外交機関だということ。もう一つが、次の前提です。
管理者の権限を先に取られていることが前提。入口はふつうのウイルスと同じ
Microsoft は KB5025885 で、この穴を悪用するには管理者の権限か、パソコンへの物理的な接触が要ると書いています。Kaspersky の分析でも、攻撃者は先にネットワークに侵入し、管理者の権限を得てから BlackX を入れていました。つまり、BlackX が入る前に、もう一段手前で一度破られているわけです。
家庭のパソコンで管理者の権限を渡してしまう場面は、たいていありふれたものです。出どころの分からないソフトのインストールで「このアプリがデバイスに変更を加えることを許可しますか？」に「はい」を押す。偽の警告画面から電話をかけ、言われるまま遠隔操作を許す。ブートキットの心配は、この入口の心配のあとに来る話です。
とはいえ、家庭にはまったく関係ないと言い切れるわけでもありません。
メモ：BlackLotus のソースコードは不完全ながら公開されていて、BlackX の作者はそれを解析したか入手したと Kaspersky は見ています。手口が出回っている以上、いつまでも外交機関だけが狙われるとは限らない、と私は考えています。ただ、家庭が狙われたという報告は、今回の出典の中にはありません。
自分のパソコンで確かめておきたいこと
家庭のパソコンで見ておきたいのは、難しい設定ではありません。更新が止まっていないことと、Secure Boot がオンになっていることの 2 つです。どちらも数分で見られます。
Windows Update が止まっていないか・Secure Boot がオンか
上から順に見てください。設定を変える手順ではなく、見るだけの手順です。
- 設定 → Windows Update を開き、「更新の一時停止」になっていないか、再起動待ちの更新が残っていないかを見る。
- スタートメニューで「システム情報」と入力して開く（msinfo32 でも開ける）。
- 「システムの要約」の中の「セキュア ブートの状態」が「有効」になっているかを見る。
- 「無効」や「サポートされていません」と出ても、その場で BIOS の設定は変えない。変えるかどうかは、機種と使い方を確かめてから決める。
Microsoft は 10 月 22 日に出した KB5132953 で、Windows Update で更新している家庭のパソコンは、新しい証明書と起動ファイルの入れ替えを自動で受け取るので操作は要らないとし、状態は「Windows セキュリティ」のアプリで確かめられると案内しています。これは新しい証明書への入れ替えの話で、上で書いた古い証明書の失効とは別の手順です。家庭では、この自動の入れ替えを止めないことがいちばんの備えになります。
怪しいソフトを入れない・管理者で常用しない
前の章で書いたとおり、BlackX のようなものが入るのは、管理者の権限を渡したあとです。家庭でできる守りは、その手前に集まります。
- Windows Update を一時停止のままにしない
- Secure Boot がオンなら、そのままにしておく
- ソフトは開発元の公式サイトか Microsoft Store から入れる
- 「デバイスに変更を加えることを許可しますか？」が出たら、何を入れようとしているのか一度止まって確かめる
- 偽の警告画面や突然の電話の言うままに、遠隔操作を許さない
ふだん使うアカウントを「標準ユーザー」にしておく方法もあります。管理者の操作が要るたびにパスワードを求められるので、知らないうちに許可を出すことが減ります。家族で 1 台を共有しているなら、子ども用のアカウントだけでも標準ユーザーにしておくと安心です。
会社や事務所でパソコンを管理している人へ — KB5025885 の失効手順
事務所のパソコンを何台も管理している立場なら、話は少し変わります。Kaspersky は対策として、Baton Drop の失効の手順を手動で済ませること、パッチが本当に穴を塞いでいるかを確かめることを挙げています。手順そのものは Microsoft の KB5025885 と、その検証の手引き KB5037167 にまとまっています。
ただし、この手順は試しに当ててみる類のものではありません。先に危ない点を書きます。
注意：失効を当てたパソコンは、更新していない回復ドライブやインストール用の USB、ネットワーク起動からは起動できなくなります。ファームウェアによっては起動しなくなったり、BitLocker の回復キーを求められたりすることがあり、一度当てると、ディスクを初期化しても元に戻せません。BitLocker の回復キーを控え、回復メディアを作り直してから進めてください。
手順は、決められた順にレジストリの値を設定して再起動を繰り返す形です。Microsoft は順番を飛ばせないようにしていて、検証の手引きでは次の 3 段階として説明しています。
新しい証明書（PCA2023）を許可の一覧（DB）に加え、PCA2023 で署名された起動マネージャーを入れ、最後に PCA2011 を使用禁止の一覧（DBX）に入れる。この対策は既定では有効になっておらず、レジストリの値と再起動で順に有効にする。
出典：Microsoft「KB5037167: Security Update Validation Program guide to test PCA2011 revocation」
まず 1 台で試し、回復メディアからも起動できることを確かめてから広げる。この進め方は手引き自体が前提にしているものです。
よくある質問
BlackX のニュースを見ました。自分のパソコンも感染しているのでしょうか？
報じられている攻撃先は中央アジアの外交機関で、家庭のパソコンが狙われたという報告は出典の中にありません。BlackX を入れるには、先にパソコンの管理者の権限を取る必要があります。Windows Update を止めず、出どころの分からないソフトを入れないという基本を守っていれば、心配しすぎる必要はありません。
Windows Update をしていれば BlackX は防げるのですか？
更新だけでは足りない、というのが今回の話の要点です。古い証明書（Windows Production PCA 2011）の失効は、更新を入れただけでは行われません。Microsoft は KB5025885 で手順を案内していますが、起動できなくなったり BitLocker の回復キーを求められたりするおそれがあるので、家庭のパソコンで手作業で行うのはおすすめしません。家庭ではまず通常の更新を続けてください。
Secure Boot がオンになっているかはどこで分かりますか？
スタートメニューで「システム情報」（msinfo32）を開き、「セキュア ブートの状態」が「有効」になっているかを見ます。「無効」や「サポートされていません」と出ても、すぐに危ないわけではありません。設定を変えるには BIOS の操作が要るので、自信がなければ無理に触らないでください。
まとめ
BlackX ブートキットは、Baton Drop（CVE-2022-21894）という古い穴を使い、古い証明書の失効が済んでいない Windows で Secure Boot をすり抜けました。更新がすべて当たったパソコンでも防げなかったのは、その失効が更新を入れただけでは行われないためです。一方で、入れるには先に管理者の権限が要り、報じられている攻撃先は中央アジアの外交機関でした。
家庭のパソコンでは、Windows Update を止めない、Secure Boot をオンのままにする、知らないソフトに管理者の許可を出さない。この 3 つで、BlackX の手前にある入口をふさげます。失効の手順は、回復の手立てを用意できる管理者の作業です。自分のパソコンの状態を一緒に確かめたい方は、ご来店か出張でお声がけください。
