Une chaîne de confiance, c’est solide comme son maillon le plus rouillé. Des chercheurs d’ESET ont exhumé onze anciens bootloaders UEFI « shim » toujours signés par Microsoft, capables de contourner Secure Boot sur les machines qui font encore confiance au vieux certificat de 2011. Le péché originel : des binaires trop anciens que personne n’avait pris la peine de bannir de la liste d’interdiction.
Points clés
- ESET a identifié 11 shims UEFI vulnérables (versions 0.9 et antérieures) signés par Microsoft.
- Ils permettent de contourner Secure Boot sur les systèmes reconnaissant le certificat Microsoft UEFI CA 2011.
- Microsoft a révoqué ces binaires dans la base dbx lors du correctif du 9 juin 2026.
- La transition vers les certificats 2023 (valables jusqu’en 2038) complique la mise à jour du parc hétérogène.
Onze shims vulnérables, versions 0.9 et antérieures
ESET a identifié 11 shims UEFI vulnérables, tous signés par Microsoft, tous capables de servir de tremplin pour désactiver Secure Boot sur les systèmes qui reconnaissent le certificat Microsoft Corporation UEFI CA 2011. Les versions incriminées sont les 0.9 et antérieures.
Le shim, c’est ce petit chargeur d’amorçage que la plupart des distributions Linux utilisent en première étape quand une machine démarre avec Secure Boot activé. Les failles logées dans ses très vieilles moutures suffisent à saboter la protection. Microsoft a fini par révoquer ces binaires dans son correctif mensuel du 9 juin 2026.
« Onze de ces shims signés se sont révélés assez vieux pour défaire la protection qu’ils étaient censés soutenir. » (ESET Research)
Le certificat Microsoft UEFI CA 2011 a par ailleurs expiré le 27 juin 2026, sans conséquence directe sur les machines déjà configurées. Ce qui compte n’est pas la date de péremption mais la révocation explicite des binaires fautifs dans la base dbx, la liste noire des signatures interdites.
Pourquoi le vieux parc reste vulnérable
Secure Boot ne regarde pas l’horloge au démarrage. Une image signée avec une clé reconnue au moment de la signature continue de booter tant qu’on ne l’a pas explicitement révoquée. Voilà comment ces shims antiques ont survécu des années, failles connues comprises.
Sur les machines qui gardent le certificat de 2011 dans leur cercle de confiance, un attaquant capable de lancer un shim vulnérable fait sauter la protection avant même le chargement du système d’exploitation. L’exécution intervient tôt, très tôt, bien avant que les outils de détection habituels ouvrent l’œil. C’est tout le charme des attaques au niveau du firmware.
Microsoft diffuse déjà les révocations via ses mises à jour UEFI. Pour les administrateurs, la consigne tient en une ligne : récupérer les bases de révocation à jour et vérifier l’état des firmwares, surtout dans les flottes hétérogènes où cohabitent vieux PC, stations Linux et images d’installation signées avec les anciennes clés.
Le basculement vers les clés 2023
L’affaire s’inscrit dans une transition plus large. Avec l’expiration des certificats de 2011, le parc migre progressivement vers les Microsoft UEFI CA 2023, valables jusqu’en 2038. Problème : tous les firmwares ne reçoivent pas les mises à jour au même rythme, loin de là.
Les mainteneurs de distributions ont donc dû préparer de nouveaux shims signés pour les deux générations de certificats, histoire de rester compatibles avec les anciens firmwares comme avec la nouvelle chaîne de confiance. Cette coexistence entre clés anciennes et récentes est précisément ce qui maintient les vieux shims exploitables quand la révocation n’est pas appliquée. Un problème que Secure Boot traîne depuis une bonne partie de son existence.
Pour l’utilisateur final, le danger n’est pas que sa machine refuse de démarrer à cause d’un certificat périmé. Le vrai point sensible tient à la présence, ou non, des binaires révoqués dans la base dbx, et à la capacité des fabricants et administrateurs à pousser ces mises à jour jusque sur les appareils encore en service. Un maillon de confiance ne vaut que si quelqu’un pense à le mettre à jour.
