Deixe a inicialização segura ativada e evite as entradas do grup de inicialização do Windows não-UEFI. Aqueles têm o comando errado chainloader +1 em vez de um caminho EFI. Você pode tentar limpá-los editando os arquivos em /etc/grub.d, mas isso não é realmente necessário. Anexe uma boa entrada do UEFI Windows do arquivo grub.cfg no /etc/grub.d/40_custom e edite o 30_os-prober para remover a entrada do Windows (ou apenas remova o bit de permissão do 30_os-prober para fazer todas as entradas criado por ele não aparece). Então corra
sudo update-grub
para atualizar o arquivo grub.cfg e o menu grub. É claro, você poderia apenas editar o arquivo /boot/grub/grub.cfg diretamente, mas as mudanças serão sobrescritas na próxima atualização do kernel.