Jde o zásadní narušení důvěryhodného řetězce při startu zařízení. Secure Boot má bránit spuštění neautorizovaných komponent, ale v tomto případě útočník zneužívá legitimní, podepsaný prvek, který systém považuje za důvěryhodný.

Problém v dodavatelském řetězci: podepsané neznamená aktuální

shim je malý open-source UEFI bootloader, který funguje jako prostředník mezi firmwarem UEFI a komplexnějším zavaděčem, například GRUB2 v linuxových distribucích. Microsoft v minulosti podepisoval některé verze shim, aby mohly fungovat se Secure Boot a s různými linuxovými i dalšími operačními systémy .

Za zranitelné jsou považovány především verze shim 0.9 a starší. Tyto verze nedostatečně vynucovaly a ověřovaly mechanismus Secure Boot Advanced Targeting (SBAT) . SBAT umožňuje zneplatnit konkrétní generaci zranitelného bootloaderu, aniž by bylo nutné odvolat certifikát celého dodavatele. Při ověřování se porovnává identita komponenty a její verze s revokačními záznamy; starší verze pod stanovenou hranicí jsou odmítnuty .

Potíž vznikla v praxi: někteří výrobci a dodavatelé si open-source shim upravili pro vlastní produkty, ale následně své odvozené verze neaktualizovali. Staré Microsoftem podepsané soubory tak mohly zůstat v oddílu EFI System Partition i poté, co byl hlavní operační systém opraven.

Výzkumníci z Positive Technologies uvedli mimo jiné tyto dotčené produkty:

• Spyrus WTGCreator verze 4.2,
• Baramundi Management Suite před verzí 2024R1,
• WhiteCanyon WipeDrive ve verzích 8.0.0 až 8.1.3,
• finský systém maturitních zkoušek Abitti 1 verze 1.0.0,
• NTC IT Rosa ve verzích R9 a R10,
• PC-Doctor Service Center ve verzích 15 a 16 .

Jak útok funguje

CVE-2026-8863 není vzdálená chyba, kterou by bylo možné běžně zneužít bez přístupu k zařízení. Útočník nejprve potřebuje administrátorská oprávnění nebo možnost změnit spouštěcí proces počítače .

Následně může do spouštěcí cesty vložit zranitelný, ale legitimní bootloader shim. Firmware UEFI při startu zkontroluje jeho digitální podpis, zjistí, že pochází od důvěryhodné certifikační autority Microsoft Corporation UEFI CA 2011, a bootloader spustí .

Zranitelný shim pak může umožnit odklonění procesu spouštění a načtení škodlivého kódu ještě před Windows, linuxovým jádrem i bezpečnostním softwarem. Výsledkem je libovolné spuštění kódu před načtením operačního systému — tedy v okamžiku, kdy běžné ochranné mechanismy ještě nejsou aktivní .

Proč je kód spuštěný před systémem tak nebezpečný

Tento scénář odpovídá technice MITRE ATT&CK T1542.003 – Pre-OS Boot: Bootkit . Bootkit funguje pod úrovní operačního systému a může zajistit velmi odolnou perzistenci. Dokáže přežít například přeinstalaci systému a současně se vyhnout části tradičních antivirových kontrol .

Úspěšné zneužití může útočníkovi umožnit:

• obejít nebo narušit ochranu BitLockeru,
• vložit škodlivý kód do jádra operačního systému,
• vytvořit zadní vrátka spouštěná při každém startu,
• ovlivnit důvěrnost, integritu i dostupnost zařízení.

Odstranění bootkitu bývá obtížné. V závažných případech může být nutné kompletní přeprogramování firmwaru zařízení, což z této chyby dělá významný problém pro podnikové bezpečnostní týmy, přestože k jejímu zneužití je potřeba lokální přístup.

Rapid7 uvádí pro CVE-2026-8863 skóre 7,8 podle CVSS v3.1 a hodnotí využití zranitelnosti jako „méně pravděpodobné“. Dopad na důvěrnost, integritu a dostupnost je však hodnocen jako vysoký .

Další kapitola problémů s důvěrou v UEFI

CVE-2026-8863 není ojedinělý případ. Navazuje na několik předchozích útoků na předstartovní prostředí, například zranitelnost BootHole v GRUB2 z roku 2020, která rovněž umožňovala obejít Secure Boot a vedla k rozsáhlé aktualizaci databáze DBX . Podobný princip využíval také bootkit BlackLotus, jenž zneužíval chybu ve starším zavaděči Windows k získání perzistence před spuštěním systému .

Situaci komplikuje i přechod od starších certifikátů Secure Boot. Certifikát Microsoft Corporation UEFI CA 2011, kterým byly podepsány mimo jiné zranitelné shim bootloadery, měl podle dostupných informací vypršet 27. června 2026 . Microsoft proto ekosystém postupně převáděl na certifikáty z generace 2023. Pro organizace používající linuxové bootloadery, nástroje třetích stran nebo specializované option ROM komponenty jde o samostatný migrační úkol .

Oprava: aktualizace databáze UEFI DBX

CVE-2026-8863 nelze vyřešit pouze běžnou aktualizací Windows. Hlavním opatřením je aktualizace UEFI Forbidden Signature Database (DBX), tedy seznamu zakázaných podpisů. Aktualizace do něj přidá hashe zranitelných bootloaderů shim .

Po nasazení DBX by firmware UEFI neměl tyto bootloadery spustit, přestože jejich podpis může být stále kryptograficky platný. Současně je nutné ověřit, zda dodavatelé dotčených produktů poskytli nové, bezpečné a se Secure Boot kompatibilní verze.

Jak DBX bezpečně nasadit ve firmě

Plošné zneplatnění starých bootloaderů může opravit bezpečnostní problém, ale zároveň způsobit, že některá zařízení nenastartují. Podnikové IT týmy by proto měly postupovat po etapách:

1. Nejprve aktualizaci otestujte. Začněte na neprodukční skupině zařízení a ověřte, zda některý kritický systém stále nespoléhá na zranitelný bootloader .
2. Prohledejte oddíly EFI System Partition. Inventarizace by měla odhalit bootloadery instalované nástroji pro obnovu, mazání disků, správu počítačů nebo diagnostiku. Výsledky porovnejte se seznamem dotčených produktů .
3. Zkontrolujte Linux a duální boot. Počítače se staršími linuxovými distribucemi mohou po revokaci ztratit možnost spuštění. Před nasazením DBX ověřte, že všechny instalace používají aktuální a nezranitelný shim .
4. Spojte se s dodavateli. U produktů od společností jako WhiteCanyon nebo Baramundi si vyžádejte aktualizované bootovací komponenty kompatibilní se Secure Boot .
5. Připravte klíče pro obnovu BitLockeru. Změny v konfiguraci Secure Boot mohou vyvolat výzvu k zadání obnovovacího klíče. Ověřte proto, že jsou klíče zálohované a dostupné helpdesku.
6. Použijte postupné aktualizační vlny. Začněte u IT oddělení, pokračujte pilotní skupinou a teprve poté nasazujte změnu plošně. V každé fázi sledujte chyby při startu a stav integrity bootování.

CVE-2026-8863 připomíná, že Secure Boot není silnější než nejslabší podepsaná komponenta, které důvěřuje. Kontrola předstartovního prostředí, aktualizace bootloaderů a včasné nasazování revokací DBX proto nejsou jednorázové úkoly, ale průběžná součást správy bezpečnosti zařízení.

Jde o zásadní narušení důvěryhodného řetězce při startu zařízení. Secure Boot má bránit spuštění neautorizovaných komponent, ale v tomto případě útočník zneužívá legitimní, podepsaný prvek, který systém považuje za důvěryhodný.

Problém v dodavatelském řetězci: podepsané neznamená aktuální

shim je malý open-source UEFI bootloader, který funguje jako prostředník mezi firmwarem UEFI a komplexnějším zavaděčem, například GRUB2 v linuxových distribucích. Microsoft v minulosti podepisoval některé verze shim, aby mohly fungovat se Secure Boot a s různými linuxovými i dalšími operačními systémy .

Za zranitelné jsou považovány především verze shim 0.9 a starší. Tyto verze nedostatečně vynucovaly a ověřovaly mechanismus Secure Boot Advanced Targeting (SBAT) . SBAT umožňuje zneplatnit konkrétní generaci zranitelného bootloaderu, aniž by bylo nutné odvolat certifikát celého dodavatele. Při ověřování se porovnává identita komponenty a její verze s revokačními záznamy; starší verze pod stanovenou hranicí jsou odmítnuty .

Potíž vznikla v praxi: někteří výrobci a dodavatelé si open-source shim upravili pro vlastní produkty, ale následně své odvozené verze neaktualizovali. Staré Microsoftem podepsané soubory tak mohly zůstat v oddílu EFI System Partition i poté, co byl hlavní operační systém opraven.

Výzkumníci z Positive Technologies uvedli mimo jiné tyto dotčené produkty:

• Spyrus WTGCreator verze 4.2,
• Baramundi Management Suite před verzí 2024R1,
• WhiteCanyon WipeDrive ve verzích 8.0.0 až 8.1.3,
• finský systém maturitních zkoušek Abitti 1 verze 1.0.0,
• NTC IT Rosa ve verzích R9 a R10,
• PC-Doctor Service Center ve verzích 15 a 16 .

Jak útok funguje

CVE-2026-8863 není vzdálená chyba, kterou by bylo možné běžně zneužít bez přístupu k zařízení. Útočník nejprve potřebuje administrátorská oprávnění nebo možnost změnit spouštěcí proces počítače .

Následně může do spouštěcí cesty vložit zranitelný, ale legitimní bootloader shim. Firmware UEFI při startu zkontroluje jeho digitální podpis, zjistí, že pochází od důvěryhodné certifikační autority Microsoft Corporation UEFI CA 2011, a bootloader spustí .

Zranitelný shim pak může umožnit odklonění procesu spouštění a načtení škodlivého kódu ještě před Windows, linuxovým jádrem i bezpečnostním softwarem. Výsledkem je libovolné spuštění kódu před načtením operačního systému — tedy v okamžiku, kdy běžné ochranné mechanismy ještě nejsou aktivní .

Proč je kód spuštěný před systémem tak nebezpečný

Tento scénář odpovídá technice MITRE ATT&CK T1542.003 – Pre-OS Boot: Bootkit . Bootkit funguje pod úrovní operačního systému a může zajistit velmi odolnou perzistenci. Dokáže přežít například přeinstalaci systému a současně se vyhnout části tradičních antivirových kontrol .

Úspěšné zneužití může útočníkovi umožnit:

• obejít nebo narušit ochranu BitLockeru,
• vložit škodlivý kód do jádra operačního systému,
• vytvořit zadní vrátka spouštěná při každém startu,
• ovlivnit důvěrnost, integritu i dostupnost zařízení.

Odstranění bootkitu bývá obtížné. V závažných případech může být nutné kompletní přeprogramování firmwaru zařízení, což z této chyby dělá významný problém pro podnikové bezpečnostní týmy, přestože k jejímu zneužití je potřeba lokální přístup.

Rapid7 uvádí pro CVE-2026-8863 skóre 7,8 podle CVSS v3.1 a hodnotí využití zranitelnosti jako „méně pravděpodobné“. Dopad na důvěrnost, integritu a dostupnost je však hodnocen jako vysoký .

Další kapitola problémů s důvěrou v UEFI

CVE-2026-8863 není ojedinělý případ. Navazuje na několik předchozích útoků na předstartovní prostředí, například zranitelnost BootHole v GRUB2 z roku 2020, která rovněž umožňovala obejít Secure Boot a vedla k rozsáhlé aktualizaci databáze DBX . Podobný princip využíval také bootkit BlackLotus, jenž zneužíval chybu ve starším zavaděči Windows k získání perzistence před spuštěním systému .

Situaci komplikuje i přechod od starších certifikátů Secure Boot. Certifikát Microsoft Corporation UEFI CA 2011, kterým byly podepsány mimo jiné zranitelné shim bootloadery, měl podle dostupných informací vypršet 27. června 2026 . Microsoft proto ekosystém postupně převáděl na certifikáty z generace 2023. Pro organizace používající linuxové bootloadery, nástroje třetích stran nebo specializované option ROM komponenty jde o samostatný migrační úkol .

Oprava: aktualizace databáze UEFI DBX

CVE-2026-8863 nelze vyřešit pouze běžnou aktualizací Windows. Hlavním opatřením je aktualizace UEFI Forbidden Signature Database (DBX), tedy seznamu zakázaných podpisů. Aktualizace do něj přidá hashe zranitelných bootloaderů shim .

Po nasazení DBX by firmware UEFI neměl tyto bootloadery spustit, přestože jejich podpis může být stále kryptograficky platný. Současně je nutné ověřit, zda dodavatelé dotčených produktů poskytli nové, bezpečné a se Secure Boot kompatibilní verze.

Jak DBX bezpečně nasadit ve firmě

Plošné zneplatnění starých bootloaderů může opravit bezpečnostní problém, ale zároveň způsobit, že některá zařízení nenastartují. Podnikové IT týmy by proto měly postupovat po etapách:

1. Nejprve aktualizaci otestujte. Začněte na neprodukční skupině zařízení a ověřte, zda některý kritický systém stále nespoléhá na zranitelný bootloader .
2. Prohledejte oddíly EFI System Partition. Inventarizace by měla odhalit bootloadery instalované nástroji pro obnovu, mazání disků, správu počítačů nebo diagnostiku. Výsledky porovnejte se seznamem dotčených produktů .
3. Zkontrolujte Linux a duální boot. Počítače se staršími linuxovými distribucemi mohou po revokaci ztratit možnost spuštění. Před nasazením DBX ověřte, že všechny instalace používají aktuální a nezranitelný shim .
4. Spojte se s dodavateli. U produktů od společností jako WhiteCanyon nebo Baramundi si vyžádejte aktualizované bootovací komponenty kompatibilní se Secure Boot .
5. Připravte klíče pro obnovu BitLockeru. Změny v konfiguraci Secure Boot mohou vyvolat výzvu k zadání obnovovacího klíče. Ověřte proto, že jsou klíče zálohované a dostupné helpdesku.
6. Použijte postupné aktualizační vlny. Začněte u IT oddělení, pokračujte pilotní skupinou a teprve poté nasazujte změnu plošně. V každé fázi sledujte chyby při startu a stav integrity bootování.

CVE-2026-8863 připomíná, že Secure Boot není silnější než nejslabší podepsaná komponenta, které důvěřuje. Kontrola předstartovního prostředí, aktualizace bootloaderů a včasné nasazování revokací DBX proto nejsou jednorázové úkoly, ale průběžná součást správy bezpečnosti zařízení.