Falha Crítica no Secure Boot da Microsoft Expõe Sistemas Windows e Linux a Bootkits Persistentes

A vulnerabilidade no Secure Boot, descoberta pela ESET, expõe uma falha crítica na base da segurança do ecossistema de PCs. A Microsoft, projetista do Secure Boot, falhou em revogar 11 shims UEFI legados, alguns datando de 2013, que são essencialmente pequenos programas que estendem o Secure Boot para sistemas Linux e utilitários. Esses shims, mesmo sendo conhecidamente defeituosos ou vulneráveis (como o shim Oracle que assinava um binário com CVE-2015-5381), permaneceram válidos por anos. Essa lacuna permitiu que atacantes contornassem a proteção do Secure Boot, instalando bootkits persistentes e difíceis de detectar, que sobrevivem a reinstalações completas do sistema operacional.

O problema reside na complexidade do próprio Secure Boot. Ele gerencia duas bases de dados principais: 'db' (certificados permitidos) e 'dbx' (certificados revogados). Para shims, que atuam como âncoras de confiança secundárias, a revogação deveria ocorrer no 'dbx' ou através de mecanismos mais modernos como SBAT (Secure Boot Advanced Targeting) ou SVN (Security Version Number). A falha em adicionar os shims vulneráveis à lista de revogação no 'dbx' ou de implementar corretamente as políticas de versão mais recentes os deixou abertos para uso malicioso, impactando sistemas Windows e Linux indiscriminadamente.

Após anos de existência, a Microsoft agiu finalmente em junho de 2026. A empresa revogou os 11 shims UEFI legados identificados pela ESET em seu ciclo mensal de atualizações. Isso significa que os sistemas que receberam essa atualização agora têm esses shims adicionados à lista de revogação, impedindo seu uso para contornar o Secure Boot. Anteriormente, esses componentes, mesmo com falhas conhecidas, eram confiados pelo sistema, criando uma brecha de segurança por mais de uma década.

Esta falha é um lembrete severo de que a segurança das fundações, como o processo de boot, é crucial. Bootkits, como LoJax, MosaicRegressor, CosmicStrand e BlackLotus, são extremamente perigosos por sua persistência e capacidade de operar antes mesmo do sistema operacional carregar, tornando-os quase impossíveis de remover. Para empresas e governos, isso significa um risco elevado de comprometer a integridade de dados e sistemas críticos, exigindo políticas de segurança e gerenciamento de patches extremamente rigorosas.

A situação ressalta que até mesmo padrões de segurança desenvolvidos por grandes players como a Microsoft podem ter pontos cegos de longa duração, especialmente quando a complexidade do sistema dificulta a gestão de revogações e atualizações. O episódio da ESET, em linha com outras descobertas recentes de vulnerabilidades duradouras, como a falha de 16 anos no KVM do Linux (reportada pelo CEVIU News em 11 de julho de 2026) e as do U-Boot (14 de julho de 2026), reforça a necessidade de auditorias contínuas e cooperação da comunidade para identificar e corrigir essas ameaças subjacentes.