Windows 10 22H2 (Build 19045.5854 以降) に 2025 年 5 月の累積更新プログラムKB 5058379、6 月のプレビューKB 5060533を適用すると、再起動や電源投入のたびにイベントビューアーへ「TPM‑WMI イベント ID 1796 – Secure Boot update failed to update a Secure Boot variable – Access is denied.」が記録されるとの報告が相次いでいます。本記事では原因のしくみを丁寧に紐解き、安全かつ効果的な対処手順をまとめました。セキュリティと運用の両面から“いま取れる最善策”を解説します。
問題の概要
- 対象 OS：Windows 10 22H2（OS Build 19045.5854 以降）
- 該当更新プログラム：KB 5058379、KB 5060533（プレビュー）、およびこれらを含む累積更新
- 現象：起動のたびにイベントログへ TPM‑WMI 1796 が警告として出力
- 見かけ上の状態：TPM 2.0 と Secure Boot は BIOS で Enabled、OS 上も正常に見える
- 潜在的な影響：Secure Boot データベース（DB/DBX）の更新失敗により、信頼されないコードの遮断が不完全になるリスク
エラーメッセージの意味
イベント ID 1796 は Microsoft‑Windows‑TPM‑WMI ソースが出力する警告で、Secure Boot 構成を格納している UEFI 変数（PK/KEK/DB/DBX など）の書き換えが拒否されたことを示します。KB 5058379 以降では DBX（禁止署名リスト）を更新する処理が追加されましたが、何らかの理由でUEFI フラッシュ領域を書き込み保護するロジックに阻まれ、結果としてアクセス拒否（0x80070005）や不明な HRESULT が返されます。
なぜ今、失敗が顕在化したのか
- DBX 更新タイミングの変更 2025 年 5 月のパッチでは、旧来 Windows Update とは別タイミングだった Secure Boot ポリシー更新が LCU に統合されました。適用時に即座に UEFI へ書き込もうとするため、BIOS 側の制約に引っ掛かりやすくなっています。
- 仮想化支援機構との競合 Intel VT‑x/VT‑d、SGX、AMD‑V などの System Management Mode 併用時は、UEFI 変数領域をロックするベンダ実装が存在します。これが DBX 書き込みの瞬間に排他的ロックを保持し、結果「Access is denied」となるケースが多数報告されています。
- ファームウェア開発元による実装差 同一 CPU 世代でも、Dell・HP・Lenovo など OEM ごとにフラッシュ領域のガード方式が異なるため、発生有無は機種依存です。
発生条件のチェック方法
1. イベントビューアー確認
- Windows キー + X →「イベント ビューアー」
- 「アプリケーションとサービス ログ」>「Microsoft」>「Windows」>「TPM‑WMI」>「Operational」を開く
- 「レベル: 警告」「イベント ID: 1796」が定期的に記録されていれば該当
2. Secure Boot 状態の確認
- 「msinfo32.exe」を実行
- 「Secure Boot の状態」が「有効」、「BIOS モード」が「UEFI」になっているか確認
リスク評価 ― エラーを放置するとどうなる？
現時点では起動不能・アプリクラッシュなど致命的な不具合は報告されていません。ただし DBX が更新されないままでは既知の悪性 UEFI 署名がブロックされない恐れがあります。企業環境やセキュリティ要件が厳しい場合、警告の解消は必須です。
実証済みの対処法
| 種別 | 手順・ポイント | 備考 |
|---|---|---|
| A. 一時的にエラーを消す | KB 5058379 / KB 5060533 をアンインストール→再起動 | アンインストール直後は 1796 が消えることを複数ユーザーが確認。 しかし Windows Update による再配信で再発する。 |
| B. BIOS 設定を利用した恒久回避例 | 上記パッチを アンインストール BIOS で以下を一時的に無効化 ・Intel Virtualization Technology (VT‑x) ・VT‑d/IOMMU ・Software Guard Extensions (SGX) ※項目なし機種もあり ・Execute Disable Bit (XD) など Windows 起動 → KB 5058379 または KB 5060533 を再インストール エラーが出ないことを確認後、BIOS で無効化した機能を再度有効 | 「Secure Boot 変数の書き換え」が通り、以降 1796 が出なくなった成功例あり。 機種・BIOS 表記はまちまちなので項目名は読み替えること。 設定変更は自己責任、BitLocker 利用中は復旧キーを必ず保管。 |
| C. Microsoft 公式が推奨する一般的手当て | Windows Update トラブルシューティング、TPM のクリア、Secure Boot の無効化→有効化、フィードバック Hub への報告 | 上記のみでは改善しなかった報告が多数。 手順 B と組み合わせることで成功率が上がる。 |
| D. 関連パッチの評価 | OOB パッチ KB 5061768（LSASS/BitLocker 向け）は Event 1796 には効果なし | 名称が似ているため混同に注意。 |
詳細手順：手順 B を安全に実施する
前提準備
- 最新のシステムバックアップ（イメージまたはファイル単位）を取得
- BitLocker が有効なドライブは回復キーを紙や別デバイスへ保管
- ノート PC は AC アダプターを接続、デスクトップは UPS 推奨
BIOS での項目名称例
| 一般的名称 | Dell | HP | Lenovo |
|---|---|---|---|
| Intel Virtualization Technology | Virtualization | Virtualization Technology (VTx) | Intel Virtual Technology |
| VT‑d / IOMMU | SR‑IOV Global Enable | Intel VTd Feature | DMA Protection |
| SGX | Software Guard Extensions | Intel SGX Enablement | Intel SGX |
項目が見当たらない場合は最新 BIOS へアップデートすることで表示される例もあります。
対処後の検証ポイント
- イベントビューアーで「最新の起動後に 1796 が記録されていない」ことを確認
- 「msinfo32」→「Secure Boot の状態」が依然「有効」になっていること
- BitLocker が「回復モード」を要求せず通常起動できること
- Hyper‑V、Docker Desktop、WSL2 など VT‑x 依存アプリの動作
想定される質問と回答（FAQ）
Q. UEFI で Secure Boot を一度無効化→有効化するだけでは駄目？ A. 一部機種では一時的にエラーが消えますが、次の累積更新で再発しやすい傾向があります。
VT‑x/VT‑d を併せて無効化してからインストール→有効化する「手順 B」が再発防止に有効です。 Q. TPM をクリアしても大丈夫？ A. BitLocker でシステムドライブを暗号化している場合、クリアすると復旧キーが必須になります。サインインできなくなるリスクがあるため、通常は TPM クリアより「手順 B」を推奨します。 Q. Windows 11 では同様のエラーが出る？ A. Windows 11 23H2 では同更新が既に取り込まれていますが、ファームウェア実装が同じなら 1796 が出る例も確認されています。
Secure Boot が機能しない状態でのアップグレードは推奨されません。
今後の見通しと運用戦略
執筆時点（2025 年 6 月下旬）で Microsoft 公式ドキュメントには既知の問題として掲載されていません。Windows 10 の無料サポートは 2025 年 10 月 14 日に終了予定で、同日以降は無償修正を期待できない可能性があります。以下の選択肢を比較検討してください。
- Windows 11 へアップグレード ― ハードウェア要件を満たす PC なら最も現実的
- Windows 10 延長セキュリティ更新（ESU）契約 ― パッチ提供は継続されるが有償
- ハードウェア更新 ― 最新 UEFI 実装で Secure Boot が確実に機能
まとめ：今すぐ取るべき 6 ステップ
- イベントビューアーで他のエラーがないか確認し、実害を把握
- 軽微な環境なら手順 Aで様子を見る
- 完全に消したい場合はバックアップを取り、手順 Bを実行
- フィードバック Hub へ再現手順とログを投稿し、公式修正を促す
- Windows 11 への無償アップグレード可否を早めに検討
- サポート終了後の運用（ESU 契約 or 新機種）の計画を立てる
イベント ID 1796 は目立った機能障害がないため見過ごされがちですが、Secure Boot の更新失敗はシステムの最終防衛線に穴をあける可能性があります。この記事を参考に、影響度の見極めと確実な対処を行い、安全な PC 運用を続けてください。
コメント