ESET: 11 מטעני אתחול ישנים עם חתימה של Microsoft מאפשרים לעקוף את Secure Boot
ESET זיהתה 11 מטעני אתחול ישנים, עם חתימה של Microsoft, שעוקפים את Secure Boot. Microsoft כבר חסמה אותם ב-9 ביוני, אבל מחשב בלי העדכון עדיין סומך עליהם. מה לבדוק.
TL;DR בקצרה
- ESET פירסמה ב-14 ביולי 2026 מחקר על 11 מטעני אתחול מסוג shim, בגרסה 0.9 ומטה, שעוקפים את Secure Boot.
- Microsoft הוסיפה אותם לרשימת החסימה (dbx) בעדכון מ-9 ביוני 2026. מחשב בלי העדכון עדיין סומך עליהם.
- לפי CERT/CC, התקיפה דורשת הרשאות מנהל או שליטה בתהליך האתחול, והפגיעה יכולה לשרוד אתחול מחדש.
- המזהים: CVE-2026-8863 ו-CVE-2026-10797. ב-Windows יש פקודות PowerShell לבדיקה, וב-Linux הסקריפט uefi-dbx-audit.
ESET זיהתה 11 מטעני אתחול ישנים עם חתימה של Microsoft, שעוקפים את Secure Boot. ESET פירסמה את המחקר ב-14 ביולי 2026. Microsoft כבר הוסיפה אותם לרשימת החסימה בעדכון מ-9 ביוני. מחשב בלי העדכון הזה עדיין סומך עליהם.
Secure Boot הוא מנגנון בקושחה של המחשב (UEFI) שמריץ באתחול רק קוד חתום. מטען אתחול קטן בשם shim, עם חתימה של Microsoft, מאפשר ל-Linux לעלות כש-Secure Boot פעיל. 11 ה-shims שבמחקר הם בגרסה 0.9 ומטה.
איך 11 מטעני אתחול ישנים עוקפים את Secure Boot
מחשבי UEFI שמכילים את התעודה Microsoft UEFI CA 2011 סומכים על shim שחתום בה. זה נכון בכל מערכת הפעלה. לכן תוקף יכול להביא איתו עותק של shim פגיע. המחשב לא חייב להריץ את התוכנה שממנה ה-shim הגיע.
ה-shims מגיעים מכלי אבחון למחשבים, מהפצות Linux ומכלי UEFI אחרים. בין הדוגמאות: Oracle Linux, RHEL 7.2 ו-Abitti 1. לפי ESET, התוקף יכול לטעון קוד לא מאומת ולהתקין bootkit כמו Bootkitty, HybridPetya או BlackLotus.
לפי CERT/CC, התקיפה דורשת הרשאות מנהל, או יכולת לשנות את תהליך האתחול. מי שמצליח בכך מריץ קוד לפני שמערכת ההפעלה ורוב מוצרי האבטחה עולים. הפגיעה יכולה לשרוד אתחול מחדש, ואולי גם התקנה מחדש של המערכת.
מה הבעיה בקוד שה-shims סומכים עליו
הנקודה החלשה היא לרוב טוען האתחול השני, בדרך כלל GRUB 2. ה-shims הישנים סומכים על גרסאות מיושנות שלו. בחלקן יש חולשות ידועות כמו BootHole. אחת מהן, CVE-2015-5281, מאפשרת לטעון קוד לא מאומת דרך מודול multiboot בנוי במיוחד.
ל-shims הישנים חסרות גם הגנות חדשות. הגנת MOK denylist הגיעה בגרסה 0.9, והגנת SBAT בגרסה 15.3. ה-shim הישן מתעלם מביטולים שתלויים בהן.
ESET מצאה גם באג בבדיקת אורך החתימה, שעוקף ביטולים לפי תעודה. זו CVE-2026-10797, שהקהילה סגרה במקור הפתוח לפני כעשור, ועד המחקר הזה לא קיבלה מספר CVE. המספר השני בפרשה הוא CVE-2026-8863.
מהדיווח ל-CERT/CC ועד הפרסום, ומה Secure Boot עדיין לא פותר
ESET דיווחה ל-CERT/CC ב-16 בפברואר 2026. את מועד הפרסום ועדכון ה-dbx קבעו ל-19 במאי, וב-30 במרץ הזיזו אותו ל-9 ביוני. באותו יום Microsoft הוציאה את העדכון, ו-CERT/CC פירסם את ההודעה VU#616257. הפוסט של ESET הגיע חמישה שבועות אחר כך.
CERT/CC מונה 38 ספקים, ובחלקם הסטטוס הוא ״לא ידוע״. חברת AMI מציינת שהמוצרים שלה לא כוללים את ה-shims. עם זאת, מימושי Secure Boot שלה יכולים לטעון אותם.
התעודה Microsoft UEFI CA 2011 פגה ב-27 ביוני 2026, אבל זה לא משפיע על האימות. מטען חתום בה נשאר מהימן כל עוד התעודה ב-db והגיבוב שלו לא ב-dbx. לכן הביטול נעשה לכל מטען בנפרד, לפי גיבוב.
לפי Help Net Security, איש לא יודע כמה shims ישנים עדיין מהימנים. מאגר shim-review קיים רק מ-2017. ESET לא פירסמה אינדיקטורים לזיהוי, כי ה-shims הם חלק מכלים לגיטימיים.
מה זה אומר עבורכם
- Windows: התקינו עדכוני אבטחה. עדכון ה-dbx אמור להגיע אוטומטית. ESET פירסמה פקודות PowerShell שבודקות אם 11 הגיבובים כבר נחסמו.
- Linux: משכו עדכוני dbx דרך fwupd ו-LVFS. את המצב אפשר לבדוק עם הסקריפט uefi-dbx-audit.
- סדר הפעולות: לפי CERT/CC, עדכנו את ה-db לפני ה-dbx. בדקו על מחשב אחד לפני ההפצה, כי אי-התאמה עלולה למנוע אתחול.
- צמצמו הרשאות מנהל: התקיפה דורשת מנהל או שליטה בתהליך האתחול. הגבילו הרשאות מקומיות ושמרו על גישה פיזית למחשבים רגישים.
- בדקו מה מאתחל אצלכם: ה-shims מגיעים גם מכלי אבחון ומהפצות Linux. אינכם צריכים מדיה כזו? בררו אצל יצרן המחשב אם אפשר לבטל אמון בחתימות צד שלישי.
מה הלאה
במחשבי Secured-core עם Windows 11, חתימות צד שלישי אמורות להיות כבויות כברירת מחדל. כך לפי Help Net Security. במחשבים אחרים כדאי לוודא שעדכון ה-dbx הותקן. כל עוד אין רשימה מלאה של shims ישנים, עוד shims עשויים להתגלות.
מקורות והרחבה
- Forgotten UEFI shims undermining Secure BootESET
- VU#616257: Microsoft-signed UEFI shim bootloaders vulnerable to Secure Boot bypassCERT/CC
- No one knows how many old shims can still bypass UEFI Secure BootHelp Net Security
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
