11 bộ UEFI shim ký bởi Microsoft có thể bị lợi dụng để vượt Secure Boot
"Researchers disclosed 11 old Microsoft-signed Linux UEFI shim bootloaders that can be abused to bypass Secure Boot on systems trusting the Microsoft Corporation UEFI CA 2011 certificate. The issue, tracked as CVE-2026-8863 and CVE-2026-10797, can enable arbitrary code execution during early boot and persistent UEFI bootkit deployment; Microsoft revoked the affected shims in its June 2026 Patch Tuesday update."
Nguy cơ cao do có thể thực thi mã tùy ý trước khi hệ điều hành khởi tạo, đồng thời tạo điều kiện triển khai UEFI bootkit và né EDR. Điểm mấu chốt gồm bypass Secure Boot thông qua shim cũ được CA tin cậy và vượt MOK/SBAT.
Tác động vận hành đáng kể vì tấn công có thể duy trì dai dẳng qua khởi động lại và trong một số trường hợp cả khi cài lại hệ điều hành. Chi phí xử lý tăng do cần kiểm tra chuỗi boot và cập nhật firmware/boot components để loại bỏ thành phần bị thu hồi.
Các nhà nghiên cứu công bố 11 UEFI shim bootloader cũ, được Microsoft-signed, có thể bị lạm dụng để bypass Secure Boot trên các hệ thống tin cậy chứng thư “Microsoft Corporation UEFI CA 2011”. Lỗ hổng được theo dõi dưới CVE-2026-8863 và CVE-2026-10797. Kịch bản tấn công có thể dẫn tới thực thi mã tùy ý trong giai đoạn boot sớm và hỗ trợ triển khai UEFI bootkit hoặc mã độc dai dẳng.
Theo mô tả kỹ thuật, firmware UEFI tải shim và xác thực chữ ký dựa trên CA được lưu sẵn trong firmware. Shim tiếp tục xác thực bootloader tầng sau (thường là GRUB 2) và sau đó xác thực kernel bằng chứng thư nhà cung cấp. Các shim từ dự án open-source (đặc biệt phiên bản 0.9 trở về trước) đã bị Microsoft thu hồi trong bản cập nhật Patch Tuesday tháng 6/2026 sau khi công bố có trách nhiệm.
Ngoài ra, cơ chế MOK allowlist/denylist và SBAT (Secure Boot Advanced Targeting) có thể bị vô hiệu theo cách lợi dụng shim cũ để vượt kiểm tra. CERT/CC cũng lưu ý rủi ro chuỗi cung ứng khi bootloader theo vendor không cập nhật bản vá từ upstream.
Khuyến nghị: rà soát thiết bị có sử dụng các shim/phiên bản bị ảnh hưởng, cập nhật theo bản vá tháng 6/2026, và đảm bảo DBX/SBAT được cập nhật để thu hồi các thành phần boot lỗi thời.