快科技 7 月 16 日消息，据 ESET 研究人员披露，Windows 系统 UEFI 安全启动（Secure Boot）存在一处潜伏超过 10 年的信任链缺陷，11 个由微软签名的旧版引导器虽含已知漏洞却一直被信任，攻击者可利用其绕过安全启动保护。微软已在 7 月补丁日更新中将其封杀。

安全启动机制旨在确保系统启动过程中只运行受信任的软件，防止 rootkit 等启动阶段恶意程序。

系统通过 Secure Boot 数据库（DB）和吊销数据库（DBX）分别管理受信任和不受信任的引导器列表，信任链根植于微软的 UEFI 证书颁发机构。

问题出在 11 个旧版 shim 第一阶段引导器上，这些引导器版本为 0.9 或更早，发布于 2015 年，主要供 Linux 发行版维持与安全启动的兼容性。

其中包含的安全漏洞已被认知多年，但由于大量 PC 仍信任微软 2011 年 UEFI CA 证书，这些旧引导器一直未被吊销。

ESET 指出，这一缺陷创造了一种自带漏洞引导器的攻击场景，攻击者无需利用系统已有的漏洞引导器，只需自带一份旧版微软签名 shim 的副本，安全启动就会放行执行。

ESET 于今年 2 月将发现报告给 CERT/CC，随后微软将 11 个存在漏洞的 shim 二进制文件加入 UEFI 禁止签名数据库（DBX）。更新后的吊销列表随 6 月补丁 KB5094126 发布，并包含在 7 月补丁日的 KB5101650 累积更新中。