Beveiligingsonderzoekers van ESET hebben een zwakte ontdekt in UEFI Secure Boot, de beveiliging die Microsoft in 2012 introduceerde om Windows- en Linux-systemen te beschermen tegen firmware-aanvallen.
De kwetsbaarheid ontstond doordat Microsoft elf verouderde shims nooit introk, ondanks bekende beveiligingslekken. Aanvallers konden deze nog altijd vertrouwde bestanden gebruiken om de volledige Secure Boot-keten te omzeilen en schadelijke firmware te laden.
Oude shims bleven jarenlang vertrouwd
Shims zijn kleine bootloaders die oorspronkelijk werden ontwikkeld om Linux-systemen veilig te laten opstarten via Secure Boot. Ze worden door Microsoft digitaal ondertekend en vormen een extra vertrouwenslaag tussen de UEFI-firmware en het besturingssysteem.
Volgens ESET is geen nieuwe kwetsbaarheid nodig om misbruik te maken van de fout. Een aanvaller hoeft enkel een oude, nog steeds vertrouwde shim te gebruiken en basiskennis van het Secure Boot-proces te hebben om de beveiliging uit te schakelen.
Daardoor kan malware zich al tijdens het opstartproces nestelen en actief blijven, zelfs nadat Windows opnieuw wordt geïnstalleerd of de opslagschijf wordt vervangen.
Windows én Linux getroffen
De kwetsbaarheid treft zowel Windows- als Linux-systemen, omdat dezelfde shims op beide platformen gebruikt kunnen worden. Normaal gesproken trekt Microsoft kwetsbare shims in zodra beveiligingsproblemen worden ontdekt. Bij deze elf exemplaren gebeurde dat echter niet, waardoor ze jarenlang bruikbaar bleven voor aanvallers.
Pas nadat ESET de kwetsbaarheden meldde aan Microsoft en CERT werden de shims ingetrokken via de beveiligingsupdates van juni 2026. Microsoft heeft nog geen verklaring gegeven waarom de oude bestanden meer dan tien jaar vertrouwd bleven.
Windows-gebruikers die de beveiligingsupdates van juni 2026 hebben geïnstalleerd, zijn niet langer kwetsbaar voor deze specifieke omzeiling. Linux-gebruikers wordt aangeraden hun distributie te updaten of via de Linux Vendor Firmware Service te controleren of de kwetsbare shims zijn ingetrokken.