MicrosoftがWindowsドライバーのSBOM・VEX提出を2027年3月から義務化 — WHCP改定でEU CRAに対応、SPDX 3.0形式を要求

Microsoftは2026年9月2日、Windows Hardware Compatibility Program（WHCP）の署名要件を改定し、2027年3月以降に提出されるすべてのドライバーで、Software Bill of Materials（SBOM、ソフトウェア部品表）とVulnerability Exploitability eXchange（VEX、脆弱性の悪用可能性に関する声明）の提出を必須化すると公表した。要件を満たさないドライバーはMicrosoftの署名が付与されず、配布の前提を欠くことになる。Microsoftは本改定の主目的を欧州連合（EU）のサイバーレジリエンス法（CRA）への準拠であると明確に説明している。

何が変わるのか — 2027年3月から全ドライバーでSBOMとVEXが必須に

Microsoftが公表した新たなWHCP要件の適用範囲は、Windows 11 バージョン25H2および26H2、ならびにWindows Server 2025以降向けに提出されるすべてのドライバーである。HLK（Hardware Lab Kit）認証を経由するドライバーと、Attestation（簡易署名）経路のドライバーの双方が対象となる。

Microsoftは、各ドライバーが個別にSBOMとVEXを提出する必要があると説明している。SBOMは業界標準のSPDX 3.0形式で作成し、ドライバーが利用するすべてのファーストパーティおよびサードパーティの構成要素を列挙する必要がある。ライブラリ、フレームワーク、ツール、推移的な依存関係まで含め、正確なバージョンとパッケージ識別子を記載する。VEXは、それらの構成要素に含まれる公開済みCVEが、当該ドライバーにおいて実際に悪用可能か否かを明示する文書である。依存ライブラリに脆弱性が存在しても、ドライバーがその機能を呼び出していなければ、VEXで「影響なし（not affected）」として整理できる。

この仕組みにより、SBOMだけからは判断できない過剰な脆弱性アラートの氾濫を防ぎつつ、実際に影響のある構成要素のリスクを正確に伝達できる。Microsoftは、SBOMとVEXの両方が揃わなければ署名を付与しない方針を示している。

背景 — EU CRAが求めるライフサイクル全体のサプライチェーン管理

Microsoftは本改定について、EUのサイバーレジリエンス法（CRA）への対応が主目的であり、任意の推奨や認証の任意要件ではなく、署名を拒否する強制的なポリシーであると位置づけている。

CRAは、製品に組み込まれたサードパーティ構成要素を開発者が正確に把握し、製品のライフサイクル全体を通じて脆弱性とサプライチェーンリスクに継続的に対処することを義務づける規則である。Microsoftは、Windowsドライバー・エコシステムのセキュリティと整合性を高めるための投資の一環として、WHCPをCRAの要求に整合させると説明している。

スケジュールと移行措置 — WDKは2026年12月にツールを提供

Microsoftは、Windows Driver Kit（WDK）を2026年12月に更新し、SBOMの生成・検証とVEX声明の作成を支援するツールを組み込む予定であると公表した。OEMや独立系ハードウェアベンダー（IHV）は、Microsoft提供のツール以外の業界標準ツールを利用することも可能だが、最終的な出力はSPDX 3.0仕様に準拠する必要がある。

移行措置として、2027年3月以前に提出されたドライバーや、旧バージョンのWindows向けドライバーは、新要件の遡及適用の対象外となる。認証ルールは新バージョンのWindowsにのみ適用され、旧OS向けの既存の署名済みドライバーが直ちに無効化されることはない。

日本企業への影響 — ドライバー供給者はSPDX 3.0対応を前倒しで準備を

本改定は、日本国内でWindows対応ハードウェアや周辺機器を提供するOEM、IHV、組み込み機器ベンダーに直接影響する。MicrosoftがSBOMとVEXを署名の前提条件としたことで、2027年3月以降にWindows 11 25H2/26H2やWindows Server 2025以降向けのドライバーをリリースする計画がある組織は、開発プロセスにSBOM生成とVEX評価の工程を組み込む必要がある。

SBOMは、利用するオープンソースやサードパーティ製ライブラリの棚卸しとバージョン管理を前提とする。VEXは、各CVEが自社ドライバーに影響するかを技術的に判断し、根拠をもって「影響あり／なし」を宣言する文書である。Microsoftは、依存関係に脆弱性が含まれるだけでは直ちに署名を拒否するのではなく、VEXで「呼び出していないため影響なし」と適切に整理すれば署名の対象となり得ると説明している。

日本企業は、2026年12月のWDK更新を待たずに、SPDX 3.0対応のSBOM生成ツールの評価、既存ドライバーの構成要素の洗い出し、CRAが求める脆弱性対応プロセスの整備を進めることが望ましい。Microsoftが公表した内容によれば、対策は同社が実際に推奨するSBOM・VEXの提出手順とWDKツールの利用に限定され、追加の独自対策を講じることよりも、まずは同社が示す形式と手順への準拠が優先される。

出典

• Microsoft「SBOMs and VEX statements will be required starting 03/2027」（Windows Hardware Certification Blog, 2026年9月2日） https://techcommunity.microsoft.com/blog/windows-hardware-certification/sboms-and-vex-statements-will-be-required-starting-032027/4552770