Hast du nach dem Start ohne SB ein Update gemacht? Eventuell wurde dabei ein neuerer Kernel oder allgemein Treiber installiert, der dann eine gültige Signatur hatte. Das ist aber rein spekulativ von mir. Im Prinzip ist Secure Boot ja dafür da, dass im UEFI kein Code ausgeführt werden kann, der nicht entsprechend signiert ist. Eventuell war da beim ersten Boot irgendeine Signatur nicht aktuell.
Das ist wohl auch der Grund, weshalb viele Distros das nicht nutzen bzw es immer noch so oft empfohlen wird, Secure Boot zu deaktivieren.