古いMicrosoft署名付きのLinux用「shim」に脆弱性、Secure Bootバイパスの恐れ

要点

• Microsoftのデジタル署名を持つ古い11個のLinux用UEFI shimブートローダーに、Secure Bootをバイパスできる脆弱性が存在することが判明した。

• 脆弱性を悪用されると、OS起動前の段階で未署名の不正コードが実行され、UEFIブートキットなどを展開される危険性がある。

• Microsoftは2026年6月の月例更新で、対象となるバージョン0.9以下のshimの署名を失効させる措置を実施した。

• 影響を受けるのは、Microsoftのサードパーティ向けCA証明書を信頼しているすべてのUEFIシステムである。

• スロバキアのセキュリティ企業ESETの研究者であるマーティン・スモラー（Martin Smolár）氏らは2026年7月14日、Microsoftのデジタル署名が付いた古い11個のLinux向けUEFI shimブートローダーに脆弱性が存在すると報告した。この脆弱性が悪用された場合、システム保護機能である「Secure Boot（PC起動時に信頼された正規のソフトウェアのみの実行を許可する機能）」をバイパスし、起動プロセス中に未署名の不正なコードを実行される恐れがある。影響を受けるのは、インストールされているOSにかかわらず、Microsoftのサードパーティ向け認証局（CA）証明書「Microsoft Corporation UEFI CA 2011」を信頼しているすべてのUEFI搭載デバイスだ。

• コンピュータの基盤ファームウェアであるUEFI（従来のBIOSに代わる新しいファームウェア規格）とLinux OSの間を仲介する、軽量なオープンソースのブートローダーが「shim」だ。Secure Bootが有効な状態でもLinuxディストリビューションを起動できるよう、あらかじめファームウェアに組み込まれているMicrosoftの証明書で署名されている。

• 通常の起動プロセスでは、UEFIファームウェアが検証したshimをロードし、次にshimが「GRUB 2」などのセカンドステージのブートローダーを、最後にGRUB 2がOSのカーネルをそれぞれ検証して起動する。

• しかし、今回指摘された脆弱性のある古いshim（主にバージョン0.9以下）がシステム上に存在すると、攻撃者がこれを利用して「Bootkitty」や「HybridPetya」、「BlackLotus」といった悪意あるUEFIブートキットを導入し、Secure Bootが有効な環境下でも起動時に任意のコードを実行できるという。

• これは、信頼された古い脆弱なドライバーを意図的に持ち込んで悪用する「BYOVD（Bring Your Own Vulnerable Driver）」に似た手法であり、OSが完全に初期化される前の極めて早い段階で悪意あるコードを走らせることを可能にする。

• さらに、Linuxシステムでユーザーが未署名のドライバーを許可する「MOK（Machine Owner Key）」の無効化機能（デニリスト）も無力化される可能性がある。shimバージョン0.9以降には古い証明書を無効化するデニリスト機能があるが、攻撃者が最新のshimを古いMicrosoft署名付きのshimに差し替えることで、アローリストに残る古い証明書を悪用してこの制限を回避し、脆弱なバイナリを実行できてしまうという。

• また、本脆弱性は、個別のファイルハッシュを登録する代わりにブートコンポーネントの世代管理を行って脆弱なバージョンを拒否する「SBAT（Secure Boot Advanced Targeting）」の仕組みをも回避してしまうという。

• この問題に対し、Microsoftは2026年2月に非公開での報告を受け、同年6月の月例アップデートを通じて、バージョン0.9以下の該当するshimプロジェクトに対する署名を失効させる措置（DBX失効リストの更新）を行った。

• 影響を受けることが判明している11個のshimブートローダーは以下の通りである。

• Spyrus WTGCreator (shim 0.7以下)

• RedHat Enterprise Linux 7.2 (shim 0.9)

• RedHat CentOS 7.2 (shim 0.9)

• Baramundi software baramundi Management Suite (2024R1まで) (shim 0.8)

• WhiteCanyon/Blancco WipeDrive (8.0.0〜8.1.3) (shim 0.7)

• フィンランドの大学入学試験委員会 Abitti 1 (1.0) (shim 0.8)

• NTC IT ROSA, LLC ROSA Linux (R10, R9) (shim 0.9)

• Oracle America, Inc. OracleLinux 7.2 (shim 0.9)

• PC-Doctor, Inc. PC Doctor Service Center (15, 16) (shim 0.9)

• OpenSuse OpenSuse UEFI Shim loader (0.9)

• OpenSuse OpenSuse Shim 2.1 (shim 0.9)

• 米国専門機関のCERT/CC（CERTコーディネーションセンター）が先月に公開したアドバイザリによると、これらのベンダー固有のブートローダーは、本家のオープンソースプロジェクトで脆弱性が修正された後もアップデートが適用されていなかった。そのため、MicrosoftのDBX失効リストによる登録が行われるまでの間、長年にわたって完全にパッチが適用されたシステム上でも古い脆弱な起動コンポーネントが動作可能な状態が維持され、サプライチェーンにおける長期的なリスクとなっていた。