Зламаний ланцюг постачання: підписано, але забуто

В основі CVE-2026-8863 лежить проблема ланцюга постачання. Вразливими компонентами є завантажувачі з відкритого проєкту shim — невеликої програми, яка виступає сполучною ланкою між прошивкою UEFI та повноцінним завантажувачем, наприклад GRUB2 у системах Linux. Microsoft раніше підписувала версії shim, щоб забезпечити сумісність із Secure Boot для дистрибутивів Linux та інших сторонніх операційних систем .

Основними ураженими версіями стали shim 0.9 та більш ранні. Ключовим недоліком є те, що ці старі версії не мали належного застосування та перевірки механізму Secure Boot Advanced Targeting (SBAT) . SBAT — це структура відкликання, яка дозволяє блокувати конкретні, вразливі покоління завантажувачів без необхідності відкликати весь сертифікат підпису постачальника . Оскільки ці старі завантажувачі shim не підтримували SBAT, вони залишалися виконуваними навіть після того, як були виявлені відомі вразливості та випущені нові, безпечні версії shim .

Живучість цих вразливих завантажувачів пояснюється діями різних виробників апаратного та програмного забезпечення, які створили форки (відгалуження) відкритого проєкту shim для власних продуктів, але ніколи не оновлювали їх. Компанія Positive Technologies визначила конкретні уражені продукти, зокрема: WhiteCanyon WipeDrive, Baramundi Management Suite, PC-Doctor Service Center та фінську систему іспитів Abitti . Ці сторонні інструменти встановлювали власні застарілі, але підписані Microsoft завантажувачі shim у системний розділ EFI (EFI System Partition), фактично залишаючи постійний «чорний хід» на системах навіть після повного встановлення всіх оновлень для основної ОС .

Техніка атаки: BYOVD для завантажувачів

Експлуатація CVE-2026-8863 не є віддаленою або неавтентифікованою атакою. Зловмисник повинен спочатку отримати права адміністратора або можливість змінити процес завантаження на цільовій машині . Отримавши такий доступ, атакуючий використовує техніку, схожу на «Bring Your Own Vulnerable Driver» (BYOVD — «принеси свій вразливий драйвер»). Однак замість драйвера ядра, він розміщує один із вразливих, але легітимних та підписаних Microsoft завантажувачів shim у шляху завантаження.

Під час завантаження системи з увімкненим Secure Boot, прошивка UEFI перевіряє цифровий підпис завантажувача shim, знаходить його дійсним (підписаним довіреним сертифікатом Microsoft UEFI CA 2011) і виконує його . Після цього зловмисник може використати застарілий shim, щоб змінити хід завантаження та завантажити шкідливе навантаження до того, як Windows або будь-яке програмне забезпечення безпеки ініціалізується. Це надає атакуючому повний контроль над системою на найранішому етапі її роботи — стан, відомий як виконання довільного коду до завантаження ОС (pre-OS arbitrary code execution) .

Ризики виконання коду до завантаження ОС: стійкість і складність очищення

Можливість виконання коду до завантаження ОС безпосередньо відповідає техніці з матриці MITRE ATT&CK — T1542.003 — Pre-OS Boot: Bootkit . Буткіт — це різновид шкідливого програмного забезпечення, яке працює на рівні, нижчому за операційну систему. Це забезпечує прихований механізм збереження в системі, який витримує перевстановлення ОС і може уникати виявлення більшістю традиційних антивірусів .

Успішна атака через CVE-2026-8863 може дозволити зловмиснику вимкнути BitLocker, впровадити шкідливий код у ядро ОС або встановити постійний «чорний хід», який активуватиметься при кожному запуску системи. Видалення буткіту — надзвичайно складне завдання, яке часто вимагає повного перепрограмування (перепрошивки) прошивки системи. Тому, хоча для експлуатації цієї вразливості потрібен локальний доступ, вона є пріоритетною для команд безпеки підприємств. Експерти з Rapid7 оцінили вразливість базовим балом CVSS v3.1 у 7.8, класифікувавши ймовірність експлуатації як «Малоймовірна», проте технічний вплив на конфіденційність, цілісність та доступність оцінено як високий .

Історія проблем із довірою в UEFI

CVE-2026-8863 — не поодинокий інцидент, а останній розділ у постійній боротьбі за безпеку процесу завантаження UEFI. Метод атаки перегукується з уразливістю «BootHole» 2020 року (CVE-2020-10713) у GRUB2, яка також дозволяла обхід Secure Boot і вимагала масштабного оновлення DBX для виправлення , а також із буткітом «BlackLotus», який використовував недолік у завантажувачі Windows для досягнення подібної стійкості на рівні до ОС .

Проблема ускладнюється масштабною подією закінчення терміну дії довіри, яка відбувається одночасно. Сертифікат Microsoft Corporation UEFI CA 2011 року, який підписував уразливі завантажувачі shim та незліченну кількість інших сторонніх компонентів завантаження, мав закінчитися 27 червня 2026 року . Microsoft закликала всю екосистему переходити на нові сертифікати 2023 року — складну операцію, яка для багатьох організацій все ще тривала на момент розкриття CVE-2026-8863 .

Виправлення та застереження щодо впровадження на підприємствах

Виправлення CVE-2026-8863 не є простим оновленням Windows Update. Основним заходом є оновлення Забороненої бази даних підписів UEFI (DBX, Forbidden Signature Database), яке додає криптографічні хеші вразливих завантажувачів shim до списку відкликання в прошивці. Після застосування оновлення прошивка UEFI відмовиться виконувати ці завантажувачі, навіть якщо вони мають дійсний підпис .

Для IT-команд та фахівців з безпеки на підприємствах розгортання оновлення DBX вимагає ретельного планування:

1. Спочатку протестуйте оновлення DBX на пілотній групі: Розгорніть оновлення на непродуктивній тестовій групі, щоб переконатися, що блокування старих завантажувачів shim не призведе до неможливості завантаження критичних систем, особливо тих, які можуть таємно покладатися на уражений сторонній завантажувач .
2. Проведіть аудит сторонніх завантажувачів: Використовуйте інвентаризаційні інструменти для сканування системних розділів EFI на наявність конкретних вразливих завантажувачів. Зіставте знайдені дані зі списком продуктів Positive Technologies, включаючи інструменти для очищення дисків, управління системами та апаратної діагностики .
3. Перевірте системи з подвійним завантаженням (dual-boot) та Linux: Системи, які завантажують як Windows, так і Linux, особливо з використанням старих релізів дистрибутивів, мають високий ризик бути заблокованими після оновлення DBX. Перед застосуванням відкликання переконайтеся, що всі встановлені дистрибутиви Linux перейшли на поточну, невразливу версію завантажувача shim .
4. Скоординуйте дії з постачальниками ПЗ: Зв'яжіться з постачальниками будь-яких виявлених уражених завантажувачів (наприклад, WhiteCanyon або Baramundi), щоб отримати оновлені, сумісні з Secure Boot версії їхніх інструментів перед блокуванням старих .
5. Підготуйтеся до введення ключа відновлення BitLocker: Будь-яка зміна конфігурації Secure Boot може викликати запит на введення ключа відновлення BitLocker. Перед розгортанням оновлення DBX переконайтеся, що ключі відновлення збережені та доступні для служби підтримки, щоб уникнути масового блокування доступу до систем.
6. Розгортайте поетапно за допомогою кілець оновлення: Використовуйте фазовий підхід: спочатку оновіть IT-відділ, потім пілотну групу користувачів, і лише потім розгортайте оновлення на всіх системах, відстежуючи проблеми з цілісністю завантаження на кожному етапі.

Уразливість CVE-2026-8863 є потужним нагадуванням про те, що захист Secure Boot є настільки ж сильним, наскільки сильною є екосистема підписаного стороннього коду, якій він довіряє. Пильний аудит середовища до завантаження ОС та оперативне застосування відкликань DBX стали невід'ємними та постійними завданнями для підтримки цілісності платформи.

Зламаний ланцюг постачання: підписано, але забуто

В основі CVE-2026-8863 лежить проблема ланцюга постачання. Вразливими компонентами є завантажувачі з відкритого проєкту shim — невеликої програми, яка виступає сполучною ланкою між прошивкою UEFI та повноцінним завантажувачем, наприклад GRUB2 у системах Linux. Microsoft раніше підписувала версії shim, щоб забезпечити сумісність із Secure Boot для дистрибутивів Linux та інших сторонніх операційних систем .

Основними ураженими версіями стали shim 0.9 та більш ранні. Ключовим недоліком є те, що ці старі версії не мали належного застосування та перевірки механізму Secure Boot Advanced Targeting (SBAT) . SBAT — це структура відкликання, яка дозволяє блокувати конкретні, вразливі покоління завантажувачів без необхідності відкликати весь сертифікат підпису постачальника . Оскільки ці старі завантажувачі shim не підтримували SBAT, вони залишалися виконуваними навіть після того, як були виявлені відомі вразливості та випущені нові, безпечні версії shim .

Живучість цих вразливих завантажувачів пояснюється діями різних виробників апаратного та програмного забезпечення, які створили форки (відгалуження) відкритого проєкту shim для власних продуктів, але ніколи не оновлювали їх. Компанія Positive Technologies визначила конкретні уражені продукти, зокрема: WhiteCanyon WipeDrive, Baramundi Management Suite, PC-Doctor Service Center та фінську систему іспитів Abitti . Ці сторонні інструменти встановлювали власні застарілі, але підписані Microsoft завантажувачі shim у системний розділ EFI (EFI System Partition), фактично залишаючи постійний «чорний хід» на системах навіть після повного встановлення всіх оновлень для основної ОС .

Техніка атаки: BYOVD для завантажувачів

Експлуатація CVE-2026-8863 не є віддаленою або неавтентифікованою атакою. Зловмисник повинен спочатку отримати права адміністратора або можливість змінити процес завантаження на цільовій машині . Отримавши такий доступ, атакуючий використовує техніку, схожу на «Bring Your Own Vulnerable Driver» (BYOVD — «принеси свій вразливий драйвер»). Однак замість драйвера ядра, він розміщує один із вразливих, але легітимних та підписаних Microsoft завантажувачів shim у шляху завантаження.

Під час завантаження системи з увімкненим Secure Boot, прошивка UEFI перевіряє цифровий підпис завантажувача shim, знаходить його дійсним (підписаним довіреним сертифікатом Microsoft UEFI CA 2011) і виконує його . Після цього зловмисник може використати застарілий shim, щоб змінити хід завантаження та завантажити шкідливе навантаження до того, як Windows або будь-яке програмне забезпечення безпеки ініціалізується. Це надає атакуючому повний контроль над системою на найранішому етапі її роботи — стан, відомий як виконання довільного коду до завантаження ОС (pre-OS arbitrary code execution) .

Ризики виконання коду до завантаження ОС: стійкість і складність очищення

Можливість виконання коду до завантаження ОС безпосередньо відповідає техніці з матриці MITRE ATT&CK — T1542.003 — Pre-OS Boot: Bootkit . Буткіт — це різновид шкідливого програмного забезпечення, яке працює на рівні, нижчому за операційну систему. Це забезпечує прихований механізм збереження в системі, який витримує перевстановлення ОС і може уникати виявлення більшістю традиційних антивірусів .

Успішна атака через CVE-2026-8863 може дозволити зловмиснику вимкнути BitLocker, впровадити шкідливий код у ядро ОС або встановити постійний «чорний хід», який активуватиметься при кожному запуску системи. Видалення буткіту — надзвичайно складне завдання, яке часто вимагає повного перепрограмування (перепрошивки) прошивки системи. Тому, хоча для експлуатації цієї вразливості потрібен локальний доступ, вона є пріоритетною для команд безпеки підприємств. Експерти з Rapid7 оцінили вразливість базовим балом CVSS v3.1 у 7.8, класифікувавши ймовірність експлуатації як «Малоймовірна», проте технічний вплив на конфіденційність, цілісність та доступність оцінено як високий .

Історія проблем із довірою в UEFI

CVE-2026-8863 — не поодинокий інцидент, а останній розділ у постійній боротьбі за безпеку процесу завантаження UEFI. Метод атаки перегукується з уразливістю «BootHole» 2020 року (CVE-2020-10713) у GRUB2, яка також дозволяла обхід Secure Boot і вимагала масштабного оновлення DBX для виправлення , а також із буткітом «BlackLotus», який використовував недолік у завантажувачі Windows для досягнення подібної стійкості на рівні до ОС .

Проблема ускладнюється масштабною подією закінчення терміну дії довіри, яка відбувається одночасно. Сертифікат Microsoft Corporation UEFI CA 2011 року, який підписував уразливі завантажувачі shim та незліченну кількість інших сторонніх компонентів завантаження, мав закінчитися 27 червня 2026 року . Microsoft закликала всю екосистему переходити на нові сертифікати 2023 року — складну операцію, яка для багатьох організацій все ще тривала на момент розкриття CVE-2026-8863 .

Виправлення та застереження щодо впровадження на підприємствах

Виправлення CVE-2026-8863 не є простим оновленням Windows Update. Основним заходом є оновлення Забороненої бази даних підписів UEFI (DBX, Forbidden Signature Database), яке додає криптографічні хеші вразливих завантажувачів shim до списку відкликання в прошивці. Після застосування оновлення прошивка UEFI відмовиться виконувати ці завантажувачі, навіть якщо вони мають дійсний підпис .

Для IT-команд та фахівців з безпеки на підприємствах розгортання оновлення DBX вимагає ретельного планування:

1. Спочатку протестуйте оновлення DBX на пілотній групі: Розгорніть оновлення на непродуктивній тестовій групі, щоб переконатися, що блокування старих завантажувачів shim не призведе до неможливості завантаження критичних систем, особливо тих, які можуть таємно покладатися на уражений сторонній завантажувач .
2. Проведіть аудит сторонніх завантажувачів: Використовуйте інвентаризаційні інструменти для сканування системних розділів EFI на наявність конкретних вразливих завантажувачів. Зіставте знайдені дані зі списком продуктів Positive Technologies, включаючи інструменти для очищення дисків, управління системами та апаратної діагностики .
3. Перевірте системи з подвійним завантаженням (dual-boot) та Linux: Системи, які завантажують як Windows, так і Linux, особливо з використанням старих релізів дистрибутивів, мають високий ризик бути заблокованими після оновлення DBX. Перед застосуванням відкликання переконайтеся, що всі встановлені дистрибутиви Linux перейшли на поточну, невразливу версію завантажувача shim .
4. Скоординуйте дії з постачальниками ПЗ: Зв'яжіться з постачальниками будь-яких виявлених уражених завантажувачів (наприклад, WhiteCanyon або Baramundi), щоб отримати оновлені, сумісні з Secure Boot версії їхніх інструментів перед блокуванням старих .
5. Підготуйтеся до введення ключа відновлення BitLocker: Будь-яка зміна конфігурації Secure Boot може викликати запит на введення ключа відновлення BitLocker. Перед розгортанням оновлення DBX переконайтеся, що ключі відновлення збережені та доступні для служби підтримки, щоб уникнути масового блокування доступу до систем.
6. Розгортайте поетапно за допомогою кілець оновлення: Використовуйте фазовий підхід: спочатку оновіть IT-відділ, потім пілотну групу користувачів, і лише потім розгортайте оновлення на всіх системах, відстежуючи проблеми з цілісністю завантаження на кожному етапі.

Уразливість CVE-2026-8863 є потужним нагадуванням про те, що захист Secure Boot є настільки ж сильним, наскільки сильною є екосистема підписаного стороннього коду, якій він довіряє. Пильний аудит середовища до завантаження ОС та оперативне застосування відкликань DBX стали невід'ємними та постійними завданнями для підтримки цілісності платформи.