Des chercheurs en sécurité d’ESET ont découvert une faiblesse dans l’UEFI Secure Boot, la sécurité introduite par Microsoft en 2012 pour protéger les systèmes Windows et Linux contre les attaques au niveau du micrologiciel.
La vulnérabilité est apparue parce que Microsoft n’a jamais révoqué onze shims obsolètes, malgré des failles de sécurité connues. Des attaquants pouvaient utiliser ces fichiers toujours considérés comme fiables pour contourner l’intégralité de la chaîne Secure Boot et charger des micrologiciels malveillants.
D’anciens shims sont restés fiables pendant des années
Les shims sont de petits chargeurs de démarrage initialement développés pour permettre aux systèmes Linux de démarrer en toute sécurité via Secure Boot. Ils sont signés numériquement par Microsoft et constituent une couche de confiance supplémentaire entre le micrologiciel UEFI et le système d’exploitation.
Selon ESET, aucune nouvelle vulnérabilité n’est nécessaire pour exploiter cette erreur. Un attaquant n’a qu’à utiliser un ancien shim, toujours considéré comme fiable, et posséder des connaissances de base sur le processus Secure Boot pour désactiver la sécurité.
Par conséquent, un logiciel malveillant peut s’installer dès le processus de démarrage et rester actif, même après une réinstallation de Windows ou le remplacement du disque de stockage.
Windows et Linux touchés
La vulnérabilité affecte aussi bien les systèmes Windows que Linux, car les mêmes shims peuvent être utilisés sur les deux plateformes. Normalement, Microsoft révoque les shims vulnérables dès que des problèmes de sécurité sont découverts. Cependant, cela n’a pas été fait pour ces onze exemplaires, les laissant exploitables par des attaquants pendant des années.
Ce n’est qu’après le signalement des vulnérabilités par ESET à Microsoft et au CERT que les shims ont été révoqués via les mises à jour de sécurité de juin 2026. Microsoft n’a pas encore fourni d’explication sur la raison pour laquelle ces anciens fichiers sont restés fiables pendant plus de dix ans.
Les utilisateurs de Windows ayant installé les mises à jour de sécurité de juin 2026 ne sont plus vulnérables à ce contournement spécifique. Il est conseillé aux utilisateurs de Linux de mettre à jour leur distribution ou de vérifier via le Linux Vendor Firmware Service si les shims vulnérables ont été révoqués.