Secure Boot 十年信任漏洞
Secure Boot 原本要在 UEFI 開機階段只放行受信任、具數位簽章的程式，避免 bootkit 比作業系統更早進場。ESET 找到 11 個由 Microsoft 簽署、部分可追溯至 2013 年的舊版 shim；這些元件早已存在漏洞或缺少 SBAT、MOK deny list 等防護，卻一直沒被加入 DBX 撤銷清單。攻擊者只要有管理權限、能修改開機流程或短暫接觸設備，就能帶入仍被信任的舊 shim，執行未授權程式。惡意程式可在 Windows 或 Linux 啟動前載入，甚至撐過重灌系統或更換硬碟。
現實應用
這不是一般網站遠端打一下就中的漏洞，比較貼近企業端點、伺服器、機房設備、共用電腦、維修流程與可由 USB 開機的環境。IT 管理員、Linux 發行版、OEM、雲端與虛擬化平台都得檢查 DBX 是否真的更新；高價值目標也要重新評估「Secure Boot 已開啟就安全」這個前提。Windows 11 Secured-core PC 在預設狀態下可能不受影響，但不能直接推論所有 Windows 11 都安全。
期望評估
我認為低標期望是套用 2026 年 6 月以後的系統、bootloader 與 DBX 更新，至少封鎖這批已知的 11 個 shim，降低現成工具直接繞過 Secure Boot 的風險。高標來看，我猜這次事件會逼 Microsoft 與生態系把簽署、資產清冊、SBAT/SVN 版本撤銷及淘汰流程自動化，讓「簽過之後多年沒人管」不再成立；但 Secure Boot 的複雜信任鏈不會因此一次修好。
商業策略分析
受影響最大的不是消費者功能，而是 Microsoft 的平台信任責任、Linux 發行版與 OEM 的維護成本。對 EDR、韌體盤點、Secure Boot 稽核及裝置生命週期管理廠商，這反而是需求訊號。我認為企業值得立即跟進盤點與分批更新，卻不必恐慌式關閉 Secure Boot；真正該投資的是可驗證的 DBX 狀態、開機媒體管制，以及韌體層事件應變能力。
實作細節
Windows 裝置應安裝最新累積更新，確認 2026 年 6 月釋出的撤銷資料已套用。Linux 使用者則依發行版公告更新 shim、bootloader 與韌體，也可透過 LVFS/fwupd 取得廠商更新，並用 uefi-dbx-audit 檢查撤銷狀態。企業部署前要先更新仍受信任的開機元件與 DB，再套用 DBX；順序錯誤或舊映像仍依賴被撤銷元件，可能造成設備無法開機，Golden Image、救援碟與虛擬機範本都要一起測。