مايكروسوفت تلغي 11 shim bootloaders قديمة قد تتيح تجاوز Secure Boot
ما الذي حدث؟
أعلنت شركة مايكروسوفت عن إلغاء 11 ملف SHIM bootloaders قديمة كانت موقّعة من قبلها، وهي جزء من سلسلة الثقة في Secure Boot ويمكن أن تسمح بتجاوز إجراءات الحماية عبر هجوم BYOVB (Bring Your Own Vulnerable Bootloader). وتأتي هذه الخطوة في سياق تصحيح ثغرات معروفة مرتبطة بتلك القطع. كما أوضحت الفقرة أن المشكلة ذاتها تتعلق بسلسلة الثقة وليس بثغرة مباشرة في Windows 11 نفسه.
المجموعة المعرّضة تشمل ملفات شيم-بوتلودرات موقّعة من مايكروسوفت وتستخدمها توزيعات لينكس لدعم Secure Boot. كشفت أبحاث ESET عن 11 ثغرة في شيم الإصدار 0.9 أو أقدم ضمن هذه العائلة القديمة من الملفات. تعود هذه الشيم إلى نحو 2015 وتضم ثغرات معروفة لسنوات، ومع ذلك ظل الاعتماد عليها قائماً في أنظمة كثيرة لأنها موقّعة من مايكروسوفت ضمن منظومة Secure Boot.
كيف يمكن استغلال المسألة؟
لن يحتاج المهاجم إلى وجود الشيم المتأثرة مثبتاً فعلياً على الحاسوب المستهدف؛ بل يمكنه إدخال وتشغيل شيم ضعيف لكن موثوق، وهو ما يعرف بهجوم BYOVB. إذا كان النظام يثق بشهادة UEFI Certificate من Microsoft Corporation UEFI CA 2011، فقد يُسمح بتشغيل أحد الشيم القديمة أثناء التمهيد، ما يضعف من متانة Secure Boot ويوفر فرصة لتنفيذ تعليمات غير مصرح بها قبل بدء تشغيل النظام.
التحديثات والتدابير المتخذة
عُثر على العيوب في شيم قديم قبل إدخال تقنيات الإلغاء الحديثة مثل SBAT، التي تمكّن من إلغاء توليدات محددة من الشحنات دون إيقاف كل إصدار. كما أن Shim الإصدار 15.3 وما بعده يدعم هذه الحماية، بينما الإصدارات الأقدم قد لا تعالج بيانات SBAT أو إجراءات إلغاء مبنية على MOK بشكل صحيح. نتيجة لذلك، استغل المهاجمون هذه القيود لإبقاء الشيم القديمة ضمن نطاق الثقة.
قامت مايكروسوفت بإلغاء هذه التسجيلات الـ11 من خلال إضافتها إلى قاعدة بيانات UEFI Forbidden Signature Database، وهي قاعدة تمنع تحميل مكونات التوقيع التي لم تعد تعتبر موثوقة من قبل الشركات. جرى الكشف عن الإلغاء إلى CERT/CC في فبراير 2026، ثم وُزّع عبر تحديثات يونيو 2026 KB5094126 وكذا تحديثات يوليو 2026 KB5101650. من المتوقع أن يطبق تثبيت أحدث التحديثات التراكمية لنظام Windows هذا الإلغاء على الأنظمة المدعومة.
تغيّر شهادات Secure Boot
يترافق هذا الإجراء مع عملية استبدال لبعض شهادات Secure Boot القديمة، إذ بلغت بعض الشهادات 15 عامًا في يونيو 2026. وتعمل مايكروسوفت على ترقية الأجهزة المدعومة إلى شهادات أحدث للحفاظ على سلامة سلسلة الثقة وتجنب الاعتماد المستمر على بنية توقيع قديمة يمكن أن تكون عرضة للاستخدام خارج النطاق السليم.
