Secure Boot dipende dal passato, non solo dal certificato
La protezione di Secure Boot si rompe quando una vecchia shim firmata resta ancora recuperabile da qualche parte della catena di trust. Il punto non è solo che il certificato Microsoft esista, ma che ogni shim legacy revocata sia stata davvero esclusa ovunque: se una copia vecchia è ancora raggiungibile, il boot può partire da un artefatto che il firmware considera legittimo e poi passare a loader successivi che ammettono codice non verificato.
ESET ha individuato undici versioni di shim Microsoft-signed, tutte a 0.9 o inferiori, che consentono il bypass di UEFI Secure Boot; Microsoft le ha revocate nel Patch Tuesday del 9 giugno 2026. Le due CVE principali sono CVE-2026-8863 e CVE-2026-10797, e il caso si estende anche a catene che includono GRUB 2 vulnerabile, fino a CVE-2015-5281. La portata reale resta però incerta perché i registri storici di firma sono incompleti.
Per chi usa Secure Boot come confine di fiducia all’avvio, il rischio non è confinato ai sistemi che avevano già quella shim installata: una copia fornita dall’attaccante sull’EFI partition basta a riaprire il varco. La vera unità di misura diventa quindi l’esaustività della revoca e dell’inventario delle shim storiche, non il solo fatto che Secure Boot risulti attivo.