2025年9月配信の累積更新プログラム「KB5065426」適用後、LAN内の共有フォルダにアクセスできなくなる事象が報告されています。病院の治療現場など停止が許されない環境では、最短で復旧する具体手順と、再発防止の運用設計が鍵です。本記事は「アンインストールに失敗して0x800F0825が出る」「SMB共有に繋がらない」を同時に解決へ導くための実務ガイドです。コマンドや画面操作、GPO/Intune/WSUSの設定例まで一気通貫で解説します。
KB5065426 適用後に共有フォルダへ接続できない：全体像
報告されている典型的な症状は次のとおりです。
- エクスプローラーで
\\サーバ名\共有名を開けない（タイムアウト／資格情報の再入力を繰り返す／「アクセスが拒否されました」）。 - 更新プログラムの「更新プログラムのアンインストール」や
wusa /uninstall /kb:5065426を実行しても、エラー 0x800F0825 で削除できない。 - 病院・製造・研究など旧機器（SMB1しか話せない装置やMFP）が混在しており、業務継続に支障が出ている。
最短復旧の考え方（結論）
まずは更新の巻き戻しでOS側の変化を元に戻し、復旧後に再発防止策を適用します。推奨する実行順は次の通りです。
- 通常のアンインストール：管理者で
wusa /uninstall /kb:5065426を実行 → 再起動。 - システムの復元：復元ポイントで適用前に戻す（
rstrui）。 - DISMでパッケージ削除：対象パッケージ名を特定し
DISM /Remove-Packageを試行。 - インプレースアップグレード（修復インストール）：個人ファイル・アプリ保持で上書き更新。
- 再発防止：SMB1依存の除去・更新リング分離・段階配信・バックアップ整備・一時停止や隠しの活用。
まずやる切り分け（3分チェック）
| 観点 | 確認コマンド/操作 | 期待/解釈 |
|---|---|---|
| ポート445疎通 | Test-NetConnection -ComputerName サーバ名 -Port 445 | 成功ならネットワーク/FWは概ね通る。失敗はFW/IPS/VLAN/経路の問題。 |
| 名前解決 | ping サーバ名、nslookup サーバ名 | IPが引けないならDNS/ホスト名解決の問題。 |
| SMB接続状態 | Get-SmbConnection | 失敗理由（認証/暗号/署名）を推測。SessionStatus に注目。 |
| イベントログ | イベント ビューア > Microsoft-Windows-SMBClient/Connectivity | エラー内容がSMB署名/暗号/NTLM/Kerberosか切り分け可能。 |
手順詳細：アンインストールから修復インストールまで
通常のアンインストール（WUSA）
管理者権限でWindowsターミナル/PowerShellを開き、次を実行します。
wusa /uninstall /kb:5065426
完了後に必ず再起動してください。これで共有フォルダに再接続できるなら、OS側変更が原因だった可能性が高いです。
システムの復元（0x800F0825回避の王道）
0x800F0825 は「その更新は削除不可（Permanentや依存関係あり）」と扱われた際に出やすいエラーです。復元ポイントで更新適用前に戻します。
- Win + R →
rstrui→ Enter。 - 「別の復元ポイントを選択する」を選び、KB5065426 適用前の日付を指定。
- 指示に従って実行・再起動。
システムの復元はユーザーデータに影響しないのが原則ですが、念のため直前に重要データのバックアップを取得してください。
DISMでパッケージを直接削除（上級）
復元が用意されていない場合、DISMで対象パッケージ名を特定し削除を試みます。実行前に必ずイメージバックアップを取得してください。
dism /online /get-packages | findstr 5065426
表示された Package_for_RollupFix~31bf3856ad364e35~amd64~~<ビルド> のようなパッケージ名を控え、次を実行します。
dism /online /remove-package /packagename:<控えたパッケージ名>
完了後に再起動。周辺の整合性を保つため、次のヘルスチェックも推奨します。
DISM /Online /Cleanup-Image /RestoreHealth
sfc /scannow
インプレースアップグレード（修復インストール）
上記がすべて失敗する/不安定が続く場合は、公式ISOからセットアップを起動し、個人ファイルとアプリを保持したまま上書き更新（修復）します。システムファイルが刷新されるため、更新が残した不整合で発生していたSMB不具合が解消するケースが多く、実務でも再現性の高い最終手段です。
更新を無効化／再発防止のための運用プラン
一時停止（即効性）
緊急回避として、影響調査が終わるまでクライアント側で更新を一時停止します。
- Windowsの設定 → Windows Update → 更新の一時停止。
- PowerShellでの一例（PSWindowsUpdateモジュール利用）：
Install-Module -Name PSWindowsUpdate -Force Get-WindowsUpdate Hide-WindowsUpdate -KBArticleID KB5065426 -Hide
段階配信と検証（WUfB/Intune/WSUS）
- 検証リング（IT/検証端末）→ パイロット（一部部署）→ 本番（全体）の三層を明確化。
- 品質更新の延期日数をリングごとに差を付けて設定し、検証完了まで本番に到達させない。
- WSUSの場合は承認前にテストグループだけに配信し、イベントログと業務アプリの検証を実施。
バックアップと復元ポイントの標準化
品質更新の適用前に、次を標準運用にします。
- システム復元ポイントの自動作成（グループポリシー/タスクスケジューラ）
- 端末イメージの世代管理（フル/差分）
Checkpoint-Computer -Description "Pre-KB5065426" -RestorePointType "MODIFY_SETTINGS"
共有フォルダ側の復旧（OSロールバック後も繋がらない場合）
更新のロールバックで解消しないときは、SMBの設定や認証ポリシーの変化を点検します。
SMB1/2/3の状況確認と移行
旧機器がSMB1依存のことが多く、更新を契機にサーバ/クライアントのSMB方針と齟齬が起きる場合があります。基本はSMB2/3へ移行です。
| 確認項目 | コマンド | 対処 |
|---|---|---|
| クライアントのSMB1状態 | Get-WindowsOptionalFeature -Online -FeatureName SMB1Protocol | 原則無効推奨。どうしても必要な旧機器はブリッジ/プロキシで段階移行。 |
| サーバの設定 | Get-SmbServerConfiguration | EnableSMB1Protocol が False を基本に。EnableSMB2Protocol は True。 |
SMB署名・暗号・NTLM/Kerberosの整合性
品質更新を契機に、SMB署名必須・暗号化必須・NTLMの扱いが変わり、相手サーバの方針と噛み合わなくなることがあります。
- SMB署名（Client/Server）
ローカルセキュリティポリシー → 「Microsoft ネットワーク クライアント/サーバー: 通信をデジタル署名（常に）」の有効/無効をサーバの方針と一致させます。異なると接続拒否や著しい遅延を招きます。 - SMB暗号化（RequirePrivacy）
Get-SmbClientConfiguration | Select RequireSecuritySignature,RequirePrivacy Set-SmbClientConfiguration -RequireSecuritySignature $true # 例サーバ側が暗号未対応/無効のときは、ポリシーを弾力化して整合を取ります（全社方針に従う）。 - NTLM/Kerberos
ドメイン参加環境では時刻同期・SPN・DNS逆引きの不整合でKerberosが失敗しNTLMにフォールバック、そのNTLMが制限強化でブロックされるケースがあります。w32tm /query /statusで時刻偏差を確認し、必要ならw32tm /resync。
ファイアウォール/ネットワークプロファイル
更新を契機にプロファイル（プライベート/パブリック）が切り替わることがあり、共有がブロックされる場合があります。グループポリシーで「ファイルとプリンターの共有」ルールを強制的に有効化します。
netsh advfirewall firewall set rule group="File and Printer Sharing" new enable=Yes
資格情報・キャッシュのクリア
保存済み資格情報が古い方式のまま残り、更新後の方針と衝突することがあります。
rundll32.exe keymgr.dll,KRShowKeyMgr # 資格情報マネージャ
klist purge # Kerberosチケットの破棄（注意：再ログオンで再取得）
接続テストの型（スクリプト化推奨）
# サーバ疎通
Test-NetConnection -ComputerName サーバ名 -Port 445
# ドライブマップ
New-PSDrive -Name Z -PSProvider FileSystem -Root \サーバ名\共有名 -Persist -Credential (Get-Credential)
# 現在のSMBセッション
Get-SmbConnection | Format-Table -Auto
# 共有一覧
Get-SmbShare -CimSession サーバ名 エラー 0x800F0825 の背景と3つの回避策
0x800F0825 は「パッケージが削除不可」状態で出る代表的なコードです。回避の優先度は次の通りです。
- システムの復元（最も安全で副作用が少ない）
- DISMで依存関係を解消しつつ削除（バックアップ前提の上級手順）
- インプレースアップグレード（確実性が高い総仕上げ）
DISMでうまく外せない場合、CBSログに「permanent package」「cannot uninstall」等の痕跡が残り、以降の試行も失敗しがちです。その場合は迷わずインプレースアップグレードに移行してください。
医療現場（病院）で止めないための運用テンプレート
| 領域 | 推奨プラクティス | 期待効果 |
|---|---|---|
| 更新配信 | 検証リングを7〜14日遅らせる。パイロット端末で電子カルテ/検査装置との共有をチェック。 | 不具合の波及を遮断。 |
| バックアップ | 日次イメージ、週次フル、復元ポイントの自動作成。 | 巻き戻しの即応性。 |
| 旧機器対応 | SMB1機器はセグメント分離＋SMBゲートウェイ（Samba等）で内部変換、クライアントはSMB2/3運用。 | セキュリティと互換性の両立。 |
| 監視 | イベントログ（SMBClient/Connectivity）とヘルスチェックをスクリプト化し、更新翌日に自動実行。 | 早期検知・早期是正。 |
GPO/Intune/WSUS：具体設定のヒント
GPO（グループポリシー）
- コンピューターの構成 → 管理用テンプレート → Windowsコンポーネント → Windows Update → 自動更新を構成する：2 – ダウンロードとインストールを通知。
- 同 → 品質更新の延期 を適用（検証リングは0〜3日、本番は7〜14日など）。
- セキュリティ設定 → ローカルポリシー → セキュリティオプションで SMB署名の必須/任意をサーバ方針に合わせる。
Intune（Windows Update for Business）
- 更新リングで品質更新の延期/一時停止を活用。
- パイロット用Azure ADグループと本番グループを分離し段階配信。
WSUS
- 承認をリングごとに分け、本番は「検証完了」フラグが立つまで保留。
- 分類は「セキュリティ品質更新」中心に最小化。不要なドライバー配信は抑制。
トラブルが長引くときのチェックポイント集
- イベントID：SMBClient/Connectivity のエラー番号を控え、署名/暗号/認証/名前解決のどれかに当たりを付ける。
- 時刻同期：ドメイン環境は5分以上のずれでKerberos失敗。
w32tm /query /status。 - 資格情報の傾向：ゲスト/匿名アクセスがポリシーで拒否されていないか。
- ネットワークプロファイル：パブリック化していないか（共有ルールが無効になる）。
- FW/EDR：更新に伴いシグネチャ/挙動ルールが厳格化されていないか。
よくある質問（FAQ）
Q. 共有側が古くSMB1しか使えません。どうすれば？
A. クライアントにSMB1を戻すのは最終手段です。推奨は、SMB1機器を隔離ネットワークに置き、SMB2/3サーバ（中継）で受けてから業務端末へ提供する方式です。移行計画が固まるまで一時的にSMB1を有効化する場合は、範囲限定・到達制御（ACL/Firewall）・脆弱性対策を厳格に行ってください。
Q. 0x800F0825を根本的に避けるには？
A. システムの復元ポイント作成を更新前の標準運用にします。削除不可の品質更新が含まれても、復元なら短時間で安全に巻き戻せます。DISMは強力ですが、依存関係を読み誤ると整合性が崩れるため、事前バックアップが大前提です。
Q. ロールバック後もたまに切れる/遅い場合は？
A. SMB署名/暗号化の必須化でCPU負荷が上がり、旧端末や仮想環境で顕在化することがあります。サーバ/クライアント双方のポリシー整合と性能監視（CPU/ネットワーク/ディスク待ち）を実施し、必要に応じて署名の必須/任意を見直してください（全社セキュリティ方針に従う）。
実行コマンド早見表
| 目的 | コマンド | メモ |
|---|---|---|
| KB5065426をアンインストール | wusa /uninstall /kb:5065426 | 成功後は再起動必須。 |
| 復元ポイント起動 | rstrui | 適用前の日付を選択。 |
| DISMでパッケージ特定 | dism /online /get-packages | findstr 5065426 | 表示名を控える。 |
| DISMで削除 | dism /online /remove-package /packagename:<パッケージ名> | バックアップ前提。 |
| イメージ整合性修復 | DISM /Online /Cleanup-Image /RestoreHealth | 完了後に sfc /scannow。 |
| SMB疎通確認 | Test-NetConnection -ComputerName サーバ -Port 445 | 通らなければFW/経路を確認。 |
| SMBセッション確認 | Get-SmbConnection | 状態・暗号・署名を把握。 |
| FW解放 | netsh advfirewall firewall set rule group="File and Printer Sharing" new enable=Yes | グループポリシーで恒久化。 |
| 更新の非表示 | Hide-WindowsUpdate -KBArticleID KB5065426 -Hide | PSWindowsUpdateモジュール。 |
安全に作業するためのチェックリスト
- 影響端末はまずネットワーク分離（業務影響の拡大阻止）。
- 現行状態のバックアップ（イメージ/重要データ）。
- 復元ポイントの有無を確認。なければ今後の運用で自動作成を必須化。
- ロールバック後、SMB署名/暗号/認証の整合性を棚卸し。
- 段階配信の検証ケースに「共有フォルダ・電子カルテ・検査装置」シナリオを追加。
まとめ：順番に実施すれば復旧率は高い
本記事で示した手順（WUSA → 復元 → DISM → インプレース）を順に進めれば、多くのケースで「KB5065426適用後に共有フォルダを開けない」問題は解消できます。合わせて、SMB1依存の整理、署名/暗号/認証の方針整備、更新の段階配信とバックアップの標準化を行えば、次回以降の品質更新でも現場を止めずに運用できます。医療など止められない環境では、技術的対処と運用設計の両輪が成功の鍵です。
付録：画面操作の詳細（参考）
「更新プログラムのアンインストール」画面
- 設定 → Windows Update → 更新の履歴 → 更新プログラムをアンインストール。
- 一覧から KB5065426 を選び、アンインストール → 再起動。
ネットワーク探索/共有の再確認
- 設定 → ネットワークとインターネット → ネットワークの詳細設定。
- ネットワーク探索 と ファイルとプリンターの共有 を有効化（ポリシーで制御するのが望ましい）。
ドライブの再マッピング
net use Z: \\サーバ名\共有名 /persistent:yes
付録：トラブルシューティングのロジックツリー
[共有不可]
├─ ネットワーク疎通(445) × → FW/経路調整
├─ 名前解決 × → DNS/Hosts調整
├─ 認証失敗 → 時刻/Kerberos/NTLM方針見直し
├─ 署名/暗号不一致 → ポリシー整合
├─ OS更新影響 → アンインストール/復元/DISM/修復
└─ 旧機器SMB1 → 中継/移行計画 or 限定的な互換設定
付録：ログ採取の最低限
- イベント ビューア：Applications and Services Logs > Microsoft > Windows > SMBClient > Connectivity
- CBSログ：
C:\Windows\Logs\CBS\CBS.log - DISMログ：
C:\Windows\Logs\DISM\dism.log
最後に：現場を止めないために
品質更新はセキュリティ上不可欠ですが、適用方法を誤ると業務停止リスクになります。今回のようにアンインストールが困難でも、復元/修復の道は残っています。技術手順と運用ルールをセットで整えることで、Windows 11の更新と現場業務は両立可能です。この記事をテンプレートとして、御社の環境に即した標準手順書を整備してください。
コメント