Sicherheitslücken in Shims: Secure Boot lässt sich seit über zehn Jahren aushebeln
Sicherheitsforscher von Eset haben erneut Schwachstellen in mehreren UEFI-Anwendungen aufgedeckt(öffnet im neuen Fenster), mit denen Angreifer seit mehr als einem Jahrzehnt in der Lage sind, Secure Boot auf unzähligen Systemen zu umgehen. Sie können damit nicht vertrauenswürdigen Code in Bootprozesse einschleusen und Anwendern gefährliche Malware wie das seit Jahren öffentlich auf Github verfügbare UEFI-Bootkit Blacklotus unterschieben.
Ursache des Problems sind mehrere sogenannte Shims. Dabei handelt es sich um Bootloader, die Microsoft vor vielen Jahren als vertrauenswürdig eingestuft und mit dem Drittanbieter-UEFI-Zertifikat "Microsoft Corporation UEFI CA 2011" signiert hatte.
Laut Eset sind elf dieser Shims längst veraltet und weisen bekannte Sicherheitslücken auf. Microsoft hatte es jedoch trotz dieser Anfälligkeiten lange versäumt, sie zu widerrufen.
Bootkit-Infektionen möglich
Eine Auflistung der betroffenen Shims ist in einer Meldung des Cert/CC(öffnet im neuen Fenster) zu finden. Sie wurden ursprünglich mit verschiedenen Tools und Systemen in Umlauf gebracht, darunter PC-Diagnosesoftware und Linux-Distributionen wie CentOS und Opensuse. Die älteste von den Forschern ermittelte Signatur stammt laut Eset aus dem Jahr 2013.
Ausnutzen lassen sich die anfälligen Shims den Angaben zufolge unabhängig vom jeweils installierten Betriebssystem. "Angreifer können ihre eigene Kopie der anfälligen Binärdateien auf jedes UEFI-System übertragen", heißt es im Bericht von Eset. Voraussetzung sei lediglich, dass auf dem Zielsystem das genannte Drittanbieter-UEFI-Zertifikat von Microsoft hinterlegt sei.
Dadurch können Angreifer mit lokalem Zugriff auf ein Zielsystem beispielsweise Bootkits einschleusen. Dabei handelt es sich um spezielle Malware, die eine vollständige und sehr weitreichende Kontrolle eines infizierten Systems ermöglicht. Bootkits werden schon während des Systemstarts geladen, können gängige Sicherheitsmechanismen auf Betriebssystemebene aushebeln und entziehen sich dadurch der Erkennung durch Antivirensoftware.
Ein DBX-Update soll's richten
Die Eset-Forscher meldeten ihre Entdeckung nach eigenen Angaben am 16. Februar 2026 an das Cert/CC. Behoben wird das Problem wie schon bei früheren Fällen dieser Art durch ein DBX-Update, durch das die Hashes der betroffenen Shims in eine Sperrliste aufgenommen werden. Windows-Systeme erhalten dieses Update mit den Patches, die Microsoft zum Patchday am 9. Juni bereitstellte.
Auch Linux-Nutzer müssen gegebenenfalls aktiv werden. Das Cert/CC empfiehlt, jeweils die neuesten Bootloader-Updates zu installieren. "Die aktualisierte Software sollte alle anfälligen Shim-Bootloader durch Versionen ersetzen, die die neuesten Sicherheitskorrekturen sowie SBAT-Schutzmaßnahmen enthalten", heißt es.
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.