CVE-2022-21894
CVSS 4.4 MEDIUM: secure Boot Security Feature Bypass Vulnerability EPSS 7% (94º percentile).
Vulnerabilità · 6 ore fa
Kaspersky GReAT ha individuato BlackX, un bootkit UEFI simile a BlackLotus, in una campagna collegata ad APT41 contro agenzie diplomatiche di Tagikistan, Uzbekistan e Turkmenistan all’inizio del 2026. BlackX sfrutta CVE-2022-21894, nota come Baton Drop, e viene installato dopo che gli attaccanti hanno ottenuto privilegi di amministratore.
Il bootkit si inserisce nel percorso di avvio UEFI: può partire prima del sistema operativo e restare attivo anche dopo una normale bonifica del sistema. Perciò, correggere la vulnerabilità non dimostra da solo che un computer già compromesso sia stato ripulito anche a livello firmware.
Il silenzio di BlackLotus non ha reso inutilizzabile questa tecnica. Nelle intrusioni con privilegi di amministratore, la persistenza può estendersi sotto il sistema operativo: per le agenzie diplomatiche dell’Asia centrale, una bonifica limitata al sistema operativo può lasciare intatto il punto d’appoggio dell’attaccante.
CVSS 4.4 MEDIUM: secure Boot Security Feature Bypass Vulnerability EPSS 7% (94º percentile).
1 fonte che coprono questa storia
New BlackX UEFI bootkit exploiting Baton Drop
It exploits the Baton Drop vulnerability (CVE-2022-21894) and is similar to the BlackLotus bootkit.
Part of the PlainSec briefing for 2026-10-22