La catena di fornitura difettosa: firmati ma dimenticati

Al centro di CVE-2026-8863 c'è un problema di catena di fornitura. I componenti vulnerabili sono bootloader del progetto open-source shim, una piccola applicazione che funge da ponte tra il firmware UEFI e un bootloader completo come GRUB2 sui sistemi Linux. Microsoft aveva precedentemente firmato le versioni di shim per consentire la compatibilità con Secure Boot per le distribuzioni Linux e altri sistemi operativi di terze parti .

Le versioni principalmente interessate sono shim 0.9 e precedenti. Fondamentalmente, queste versioni più vecchie non implementavano correttamente la convalida del meccanismo Secure Boot Advanced Targeting (SBAT) . SBAT è un framework di revoca che consente di bloccare generazioni specifiche e vulnerabili di bootloader senza dover revocare l'intero certificato di firma di un fornitore . Poiché questi shim più datati non rispettavano SBAT, sono rimasti eseguibili anche dopo la scoperta delle loro vulnerabilità note e il rilascio di nuove versioni sicure di shim .

La persistenza di questi bootloader vulnerabili è dovuta a vari fornitori hardware e software che hanno creato un fork dello shim open-source per i propri prodotti, senza mai aggiornarli. Positive Technologies ha identificato prodotti specifici interessati, tra cui WhiteCanyon WipeDrive, Baramundi Management Suite, PC-Doctor Service Center e il sistema Abitti per l'esame di maturità finlandese . Questi strumenti di terze parti hanno installato i loro shim obsoleti, ma firmati da Microsoft, nella partizione di sistema EFI, lasciando una backdoor permanente sui sistemi anche dopo che il sistema operativo principale era stato completamente aggiornato .

La tecnica di attacco: un BYOVD per bootloader

Sfruttare CVE-2026-8863 non è un attacco remoto e non autenticato. Un malintenzionato deve prima ottenere privilegi di amministratore o la capacità di modificare il processo di avvio della macchina bersaglio . Una volta ottenuto questo accesso, l'attaccante sfrutta una tecnica simile al "Bring Your Own Vulnerable Driver" (BYOVD). Invece di un driver del kernel, posiziona uno dei bootloader shim vulnerabili, ma legittimi e firmati Microsoft, nel percorso di avvio.

All'avvio del sistema con Secure Boot abilitato, il firmware UEFI verifica la firma digitale dello shim, la trova valida (firmata dal certificato Microsoft UEFI CA 2011 ritenuto attendibile) e lo esegue . L'aggressore può quindi utilizzare lo shim obsoleto per deviare il processo di avvio, caricando un payload dannoso prima che Windows o qualsiasi software di sicurezza venga inizializzato. Questo garantisce il pieno controllo del sistema durante la fase più precoce del funzionamento della macchina, uno stato noto come esecuzione arbitraria di codice pre-OS .

I rischi dell'esecuzione pre-OS: persistente e difficile da eliminare

La capacità di esecuzione di codice pre-OS si mappa direttamente sulla tecnica MITRE ATT&CK T1542.003 — Pre-OS Boot: Bootkit . Un bootkit è una forma di malware che opera al di sotto del livello del sistema operativo, fornendo un meccanismo di persistenza furtivo che sopravvive alla reinstallazione del sistema operativo e può eludere la maggior parte dei software antivirus tradizionali .

Un attacco riuscito tramite CVE-2026-8863 potrebbe consentire a un avversario di disabilitare BitLocker, iniettare codice dannoso nel kernel del sistema operativo o stabilire una backdoor persistente che si attiva ad ogni avvio del sistema. Riparare un'infezione da bootkit è notoriamente difficile e spesso richiede un reflash completo del firmware del sistema, rendendo questa vulnerabilità una priorità assoluta per i team di sicurezza aziendale, anche se richiede accesso locale per essere sfruttata. La valutazione di Rapid7 ha assegnato alla vulnerabilità un punteggio base CVSS v3.1 di 7.8 e ne ha classificato lo sfruttamento come "Meno Probabile", ma il suo impatto tecnico su riservatezza, integrità e disponibilità è considerato Alto .

Una storia di problemi di fiducia UEFI

CVE-2026-8863 non è un incidente isolato; è l'ultimo capitolo della battaglia in corso per mettere in sicurezza il processo di avvio UEFI. La tecnica riecheggia la vulnerabilità "BootHole" del 2020 (CVE-2020-10713) in GRUB2, che consentiva anch'essa un bypass di Secure Boot e richiese un massiccio aggiornamento DBX per essere risolta , e il bootkit "BlackLotus", che sfruttava un difetto nel bootloader di Windows per ottenere una simile persistenza pre-OS .

Il problema è aggravato da un evento di scadenza di fiducia su larga scala che si verifica contemporaneamente. Il certificato Microsoft Corporation UEFI CA 2011, che ha firmato gli shim vulnerabili e innumerevoli altri componenti di avvio di terze parti, era destinato a scadere il 27 giugno 2026 . Microsoft stava spingendo l'intero ecosistema a migrare verso nuovi certificati del 2023, un'operazione complessa che, per molte organizzazioni, era ancora in corso quando CVE-2026-8863 è stata divulgata .

Remediation e precauzioni per il deployment aziendale

Risolvere CVE-2026-8863 non è una semplice patch di Windows Update. La mitigazione principale è un aggiornamento del Forbidden Signature Database (DBX) UEFI che aggiunge gli hash crittografici dei bootloader shim vulnerabili all'elenco di revoca del firmware. Una volta applicato, il firmware UEFI si rifiuterà di eseguire quei bootloader, anche se validamente firmati .

Per i team IT e di sicurezza aziendale, l'implementazione dell'aggiornamento DBX richiede un'attenta pianificazione:

1. Eseguire prima un pilota dell'aggiornamento DBX: Distribuire l'aggiornamento a un gruppo di test non di produzione per assicurarsi che il blocco dei vecchi shim non renda non avviabili sistemi critici, in particolare quelli che potrebbero dipendere segretamente da un bootloader di terze parti interessato .
2. Verificare i bootloader di terze parti: Utilizzare uno strumento di inventario per scansionare le partizioni di sistema EFI per verificare la presenza dei bootloader vulnerabili specifici. Incrociare i risultati con l'elenco dei prodotti di Positive Technologies, inclusi strumenti utilizzati per la cancellazione dei dischi, la gestione dei sistemi e la diagnostica hardware .
3. Verificare i sistemi dual-boot e Linux: I sistemi che eseguono un dual-boot con Windows e Linux, specialmente se utilizzano versioni di distribuzione meno recenti, sono ad alto rischio di essere bloccati dopo l'aggiornamento DBX. Assicurarsi che tutte le distribuzioni Linux installate siano migrate a un bootloader shim corrente e non vulnerabile prima di applicare la revoca .
4. Coordinarsi con i fornitori di software: Contattare i fornitori di eventuali bootloader interessati identificati (come WhiteCanyon o Baramundi) per ottenere versioni aggiornate e compatibili con Secure Boot dei loro strumenti prima di bloccare quelle vecchie .
5. Prepararsi per il ripristino di BitLocker: Qualsiasi modifica alla configurazione di Secure Boot può attivare una richiesta di chiave di ripristino di BitLocker. Prima di distribuire l'aggiornamento DBX, confermare che le chiavi di ripristino siano salvate e accessibili all'help desk per evitare un blocco di massa.
6. Organizzare il rollout in fasi con anelli di aggiornamento: Utilizzare un approccio graduale, iniziando con l'IT, poi con gli utenti pilota e infine con la distribuzione estesa, monitorando ogni fase per eventuali problemi di integrità dell'avvio.

La vulnerabilità CVE-2026-8863 serve come potente promemoria che la protezione di Secure Boot è forte tanto quanto l'ecosistema di codice di terze parti firmato di cui si fida. La verifica vigile dell'ambiente pre-avvio e l'applicazione rapida delle revoche DBX sono ora compiti essenziali e continui per mantenere l'integrità della piattaforma.

La catena di fornitura difettosa: firmati ma dimenticati

Al centro di CVE-2026-8863 c'è un problema di catena di fornitura. I componenti vulnerabili sono bootloader del progetto open-source shim, una piccola applicazione che funge da ponte tra il firmware UEFI e un bootloader completo come GRUB2 sui sistemi Linux. Microsoft aveva precedentemente firmato le versioni di shim per consentire la compatibilità con Secure Boot per le distribuzioni Linux e altri sistemi operativi di terze parti .

Le versioni principalmente interessate sono shim 0.9 e precedenti. Fondamentalmente, queste versioni più vecchie non implementavano correttamente la convalida del meccanismo Secure Boot Advanced Targeting (SBAT) . SBAT è un framework di revoca che consente di bloccare generazioni specifiche e vulnerabili di bootloader senza dover revocare l'intero certificato di firma di un fornitore . Poiché questi shim più datati non rispettavano SBAT, sono rimasti eseguibili anche dopo la scoperta delle loro vulnerabilità note e il rilascio di nuove versioni sicure di shim .

La persistenza di questi bootloader vulnerabili è dovuta a vari fornitori hardware e software che hanno creato un fork dello shim open-source per i propri prodotti, senza mai aggiornarli. Positive Technologies ha identificato prodotti specifici interessati, tra cui WhiteCanyon WipeDrive, Baramundi Management Suite, PC-Doctor Service Center e il sistema Abitti per l'esame di maturità finlandese . Questi strumenti di terze parti hanno installato i loro shim obsoleti, ma firmati da Microsoft, nella partizione di sistema EFI, lasciando una backdoor permanente sui sistemi anche dopo che il sistema operativo principale era stato completamente aggiornato .

La tecnica di attacco: un BYOVD per bootloader

Sfruttare CVE-2026-8863 non è un attacco remoto e non autenticato. Un malintenzionato deve prima ottenere privilegi di amministratore o la capacità di modificare il processo di avvio della macchina bersaglio . Una volta ottenuto questo accesso, l'attaccante sfrutta una tecnica simile al "Bring Your Own Vulnerable Driver" (BYOVD). Invece di un driver del kernel, posiziona uno dei bootloader shim vulnerabili, ma legittimi e firmati Microsoft, nel percorso di avvio.

All'avvio del sistema con Secure Boot abilitato, il firmware UEFI verifica la firma digitale dello shim, la trova valida (firmata dal certificato Microsoft UEFI CA 2011 ritenuto attendibile) e lo esegue . L'aggressore può quindi utilizzare lo shim obsoleto per deviare il processo di avvio, caricando un payload dannoso prima che Windows o qualsiasi software di sicurezza venga inizializzato. Questo garantisce il pieno controllo del sistema durante la fase più precoce del funzionamento della macchina, uno stato noto come esecuzione arbitraria di codice pre-OS .

I rischi dell'esecuzione pre-OS: persistente e difficile da eliminare

La capacità di esecuzione di codice pre-OS si mappa direttamente sulla tecnica MITRE ATT&CK T1542.003 — Pre-OS Boot: Bootkit . Un bootkit è una forma di malware che opera al di sotto del livello del sistema operativo, fornendo un meccanismo di persistenza furtivo che sopravvive alla reinstallazione del sistema operativo e può eludere la maggior parte dei software antivirus tradizionali .

Un attacco riuscito tramite CVE-2026-8863 potrebbe consentire a un avversario di disabilitare BitLocker, iniettare codice dannoso nel kernel del sistema operativo o stabilire una backdoor persistente che si attiva ad ogni avvio del sistema. Riparare un'infezione da bootkit è notoriamente difficile e spesso richiede un reflash completo del firmware del sistema, rendendo questa vulnerabilità una priorità assoluta per i team di sicurezza aziendale, anche se richiede accesso locale per essere sfruttata. La valutazione di Rapid7 ha assegnato alla vulnerabilità un punteggio base CVSS v3.1 di 7.8 e ne ha classificato lo sfruttamento come "Meno Probabile", ma il suo impatto tecnico su riservatezza, integrità e disponibilità è considerato Alto .

Una storia di problemi di fiducia UEFI

CVE-2026-8863 non è un incidente isolato; è l'ultimo capitolo della battaglia in corso per mettere in sicurezza il processo di avvio UEFI. La tecnica riecheggia la vulnerabilità "BootHole" del 2020 (CVE-2020-10713) in GRUB2, che consentiva anch'essa un bypass di Secure Boot e richiese un massiccio aggiornamento DBX per essere risolta , e il bootkit "BlackLotus", che sfruttava un difetto nel bootloader di Windows per ottenere una simile persistenza pre-OS .

Il problema è aggravato da un evento di scadenza di fiducia su larga scala che si verifica contemporaneamente. Il certificato Microsoft Corporation UEFI CA 2011, che ha firmato gli shim vulnerabili e innumerevoli altri componenti di avvio di terze parti, era destinato a scadere il 27 giugno 2026 . Microsoft stava spingendo l'intero ecosistema a migrare verso nuovi certificati del 2023, un'operazione complessa che, per molte organizzazioni, era ancora in corso quando CVE-2026-8863 è stata divulgata .

Remediation e precauzioni per il deployment aziendale

Risolvere CVE-2026-8863 non è una semplice patch di Windows Update. La mitigazione principale è un aggiornamento del Forbidden Signature Database (DBX) UEFI che aggiunge gli hash crittografici dei bootloader shim vulnerabili all'elenco di revoca del firmware. Una volta applicato, il firmware UEFI si rifiuterà di eseguire quei bootloader, anche se validamente firmati .

Per i team IT e di sicurezza aziendale, l'implementazione dell'aggiornamento DBX richiede un'attenta pianificazione:

1. Eseguire prima un pilota dell'aggiornamento DBX: Distribuire l'aggiornamento a un gruppo di test non di produzione per assicurarsi che il blocco dei vecchi shim non renda non avviabili sistemi critici, in particolare quelli che potrebbero dipendere segretamente da un bootloader di terze parti interessato .
2. Verificare i bootloader di terze parti: Utilizzare uno strumento di inventario per scansionare le partizioni di sistema EFI per verificare la presenza dei bootloader vulnerabili specifici. Incrociare i risultati con l'elenco dei prodotti di Positive Technologies, inclusi strumenti utilizzati per la cancellazione dei dischi, la gestione dei sistemi e la diagnostica hardware .
3. Verificare i sistemi dual-boot e Linux: I sistemi che eseguono un dual-boot con Windows e Linux, specialmente se utilizzano versioni di distribuzione meno recenti, sono ad alto rischio di essere bloccati dopo l'aggiornamento DBX. Assicurarsi che tutte le distribuzioni Linux installate siano migrate a un bootloader shim corrente e non vulnerabile prima di applicare la revoca .
4. Coordinarsi con i fornitori di software: Contattare i fornitori di eventuali bootloader interessati identificati (come WhiteCanyon o Baramundi) per ottenere versioni aggiornate e compatibili con Secure Boot dei loro strumenti prima di bloccare quelle vecchie .
5. Prepararsi per il ripristino di BitLocker: Qualsiasi modifica alla configurazione di Secure Boot può attivare una richiesta di chiave di ripristino di BitLocker. Prima di distribuire l'aggiornamento DBX, confermare che le chiavi di ripristino siano salvate e accessibili all'help desk per evitare un blocco di massa.
6. Organizzare il rollout in fasi con anelli di aggiornamento: Utilizzare un approccio graduale, iniziando con l'IT, poi con gli utenti pilota e infine con la distribuzione estesa, monitorando ogni fase per eventuali problemi di integrità dell'avvio.

La vulnerabilità CVE-2026-8863 serve come potente promemoria che la protezione di Secure Boot è forte tanto quanto l'ecosistema di codice di terze parti firmato di cui si fida. La verifica vigile dell'ambiente pre-avvio e l'applicazione rapida delle revoche DBX sono ora compiti essenziali e continui per mantenere l'integrità della piattaforma.