Descoberta e escopo da vulnerabilidade
Bootloaders UEFI shim assinados pela Microsoft com 11 anos, alguns datando de mais de uma década, permitem que atacantes contornem completamente o UEFI Secure Boot em quase qualquer máquina baseada em UEFI, independentemente do sistema operacional instalado. Pesquisadores da ESET descobriram que os shims vulneráveis, todos na versão 0.9 ou anterior, foram assinados pelo certificado Microsoft Corporation UEFI CA 2011 e permaneceram confiáveis por anos, apesar de carregar falhas conhecidas e exploráveis.
Atacantes explorando esses shims podem executar código não confiável durante o processo de inicialização, abrindo caminho para a implantação de bootkits UEFI maliciosos como Bootkitty, HybridPetya ou BlackLotus, mesmo em sistemas onde o Secure Boot está totalmente habilitado. Crucialmente, isso não se limita a dispositivos executando o software ou distribuição Linux afetada; um atacante pode simplesmente trazer sua própria cópia de um shim vulnerável para qualquer máquina que confie no certificado UEFI de terceiros da Microsoft.
Análise técnica detalhada
Dois identificadores CVE foram atribuídos para rastrear formalmente o problema: CVE-2026-8863, que cobre a falha principal de bypass shim relatada ao CERT/CC, e CVE-2026-10797, que cobre uma falha de verificação de revogação de uma década onde o shim lê o tamanho da assinatura da estrutura PE errada, permitindo que atacantes desviem a revogação dbx/MokListX inteiramente. O CERT/CC confirma que os shims afetados decorrem principalmente da versão 0.9 e anterior do projeto shim de código aberto, abrangendo ferramentas de diagnóstico PC, distribuições Linux e outros utilitários UEFI.
A ESET relatou suas descobertas ao CERT/CC em fevereiro de 2026 e, após atrasos de coordenação, a Microsoft revogou todos os 11 binários shim vulneráveis via atualização dbx lançada no Patch Tuesday de 9 de junho de 2026. Uma vez que a atualização é aplicada, o firmware Secure Boot recusará carregar qualquer uma das versões shim sinalizadas, verificando seus hashes Authenticode SHA-256 contra o banco de dados de assinatura proibida.
Impacto e alcance
Notavelmente, todos os sistemas UEFI com a assinatura UEFI de terceiros da Microsoft habilitada estão expostos, embora PCs Secured-core do Windows 11 tenham essa opção desabilitada por padrão, oferecendo alguma proteção integrada. Este caso destaca um problema persistente de visibilidade no ecossistema de assinatura UEFI: muitos shims assinados antes de 2017, quando o processo de transparência shim-review começou, permanecem sem registro, o que significa que mais binários exploráveis e esquecidos podem ainda ser confiados em sistemas em todo o mundo.
Medidas de mitigação recomendadas
Equipes de segurança e usuários finais devem aplicar o patch com cuidado para evitar falhas de inicialização. A ordem correta é implantar primeiro o banco de dados de assinatura autorizado atualizado (db) e depois aplicar a lista de revogação dbx; inverter essa ordem pode fazer com que os sistemas rejeitem bootloaders assinados legítimos. Sistemas Windows devem receber a atualização dbx automaticamente através dos canais Patch Tuesday.
Usuários Linux devem verificar atualizações via Linux Vendor Firmware Service e verificar o status de revogação com o script uefi-dbx-audit. Empresas devem testar a atualização em hardware não crítico antes da implantação generalizada, já que a ordem de implantação inadequada pode deixar sistemas sem inicialização. Administradores também podem usar scripts de auditoria PowerShell para confirmar se os hashes SHA-256 necessários estão presentes em sua variável dbx.
Perguntas frequentes
Qual é o risco principal? O risco principal é o bypass completo do Secure Boot, permitindo a execução de código malicioso antes do carregamento do sistema operacional.
Quais sistemas são afetados? Todos os sistemas UEFI com a assinatura UEFI de terceiros da Microsoft habilitada, incluindo muitas distribuições Linux e PCs Windows.
Como mitigar? Aplicar a atualização dbx da Microsoft e verificar o status de revogação com scripts de auditoria específicos.