Microsoft a publié un correctif de sécurité pour Windows qui résout un problème lié au mécanisme de démarrage sécurisé UEFI. Cette vulnérabilité n'affectait pas Windows 11 lui-même. Les chercheurs d'ESET ont découvert que certains anciens chargeurs de démarrage signés par Microsoft étaient encore considérés comme fiables, alors qu'ils étaient connus pour contourner des failles de sécurité depuis des années. Le démarrage sécurisé est un mécanisme qui garantit que seuls les logiciels de confiance sont chargés au démarrage de l'ordinateur. Cela contribue à réduire le risque d'infection par des rootkits et autres menaces s'activant avant le chargement du système d'exploitation. Le problème découvert par ESET affectait d'anciennes versions du chargeur de démarrage shim, principalement utilisé dans les distributions Linux prenant en charge le démarrage sécurisé. Onze versions anciennes de ce composant, publiées jusqu'en 2015, figuraient encore sur la liste des signatures de confiance de Microsoft, malgré des failles de sécurité connues de longue date.

D'après les chercheurs, cette faille permettait une attaque de type « Bring Your Own Vulnerable Bootloader ». Une personne disposant des droits d'accès nécessaires pouvait utiliser sa propre copie d'un ancien chargeur de démarrage vulnérable, signé par Microsoft, pour contourner certains mécanismes de démarrage sécurisé. Il n'était pas nécessaire de trouver le programme vulnérable sur l'ordinateur de la victime, car l'attaquant pouvait le fournir lui-même. Pire encore, cette vulnérabilité était présente dans Windows depuis plus de 10 ans. Les versions plus récentes du chargeur de démarrage ont ajouté des mesures de sécurité supplémentaires, telles que SBAT et des mécanismes utilisant la liste MOK, qui permettent un blocage plus efficace des versions malveillantes du logiciel de démarrage.

ESET a signalé le problème au Centre de coordination CERT de Microsoft en février, et Microsoft a depuis préparé les correctifs nécessaires. Onze chargeurs de démarrage vulnérables ont été ajoutés à la base de données des signatures interdites UEFI, une liste de signatures numériques bloquées. Cette mise à jour a d'abord été incluse dans les correctifs de sécurité de juin et est désormais également incluse dans le dernier package Patch Tuesday de juillet, de sorte que les utilisateurs installant les mises à jour actuelles reçoivent automatiquement tous les correctifs.