Investigadores de ESET han identificado once antiguos y olvidados cargadores de arranque UEFI shim, que corresponden a versiones 0.9 y anteriores, capaces de eludir el UEFI Secure Boot en cualquier máquina con UEFI que confíe en el certificado de la autoridad de certificación de terceros de Microsoft, independientemente del sistema operativo instalado. Estos shims pueden ser explotados para ejecutar código no confiable durante el arranque del sistema, permitiendo a los atacantes desplegar bootkits maliciosos UEFI como Bootkitty, HybridPetya, o BlackLotus, incluso en sistemas con el UEFI Secure Boot habilitado. ESET comunicó sus hallazgos a CERT/CC en febrero de 2026, y las aplicaciones UEFI vulnerables fueron revocadas en el Patch Tuesday de Microsoft del 9 de junio de 2026.
Aunque se asignaron dos identificadores CVE a este caso, la explotación de cada shim reportado no se limita a un solo error o a un par que puedan encontrarse en esos antiguos shims. De hecho, la superficie de ataque se amplía por el uso de cargadores de arranque de segunda etapa confiables, en su mayoría GRUB 2, que pueden incluir versiones obsoletas con vulnerabilidades conocidas. Los shims descubiertos provienen de diversas herramientas o paquetes de software, incluyendo software de diagnóstico de PC, distribuciones de Linux y otras utilidades basadas en UEFI. Es importante destacar que la explotación no se limita a sistemas con el software o sistema operativo afectado instalado, ya que los atacantes pueden llevar su propia copia de los shims vulnerables a cualquier sistema UEFI con el certificado de terceros de Microsoft enrolado.
La lista completa de los productos de software que dependen de los shims reportados, junto con sus versiones afectadas, está disponible en la nota de vulnerabilidad de CERT/CC. En respuesta al informe de los investigadores de ESET, Microsoft revocó cargadores de arranque UEFI shim con certificaciones específicas que fueron parte de la actualización dbx de su Patch Tuesday.
Se han planteado puntos clave sobre la naturaleza de los shims vulnerables: su capacidad de permitir la ejecución de código no confiable durante el arranque del sistema expone a los dispositivos a peligros significativos. A través del tiempo, ha quedado claro que los shims más antiguos y olvidados pueden ser igual de peligrosos, no por nuevas vulnerabilidades, sino porque no se necesita de estas para eludir el UEFI Secure Boot, lo que plantea serias preocupaciones sobre la seguridad de los dispositivos UEFI. Aunque la revocación de estos 11 shims abordó el problema inmediato, la falta de visibilidad sobre otros shims antiguos y en qué sistemas pueden estar presentes sigue siendo un reto en la seguridad informática.
Fuente: WeLiveSecurity by eSet.
