微软Secure Boot被曝存在十年未修复漏洞
安全启动十年存漏洞，百万Windows设备可能面临攻击风险
安全研究人员本周公开披露，微软Windows系统内置的Secure Boot（安全启动）功能存在一个严重漏洞，该漏洞已经存在长达十年之久却一直未被发现，可能导致恶意固件绕过安全检查，在系统底层持久化驻留。该漏洞编号为CVE-2026-20126，CVSS评分为8.2分，属于高危漏洞，对政企用户和关键基础设施的威胁尤其严重。研究人员在报告中警告，该漏洞可能被高级持续性威胁组织利用。
Secure Boot是UEFI规范要求的一项核心安全功能，目的是确保只有经过数字签名验证的操作系统引导程序和驱动程序才能在启动阶段运行，防止rootkit和bootkit恶意软件在操作系统启动前就感染系统。安全研究人员发现，微软在对第三方引导程序的签名验证逻辑中存在错误，攻击者可以构造特定的恶意引导程序绕过签名检查，从而获得系统最高权限。该漏洞一旦被利用，攻击者可以控制系统底层，绕过所有上层安全机制，包括杀毒软件和防火墙。研究人员表示，该漏洞的利用代码并不复杂，有一定技术能力的攻击者即可实现。
该漏洞存在于微软提供的统一签名验证代码库中，从Windows 8发布至今几乎所有版本都受到影响，涵盖了过去十年绝大多数PC设备。由于Secure Boot位于系统最底层，一旦被攻破，即使重装操作系统也无法清除恶意固件，攻击者可以在设备中实现近乎永久的驻留。对于企业用户来说，这意味着攻击者可以在网络中的每一台设备上植入无法检测的后门，数据泄露风险极其严重。好消息是微软已经在本月补丁星期二活动中发布了修复补丁，受影响用户应立即更新。
研究团队发现该漏洞纯属偶然。他们在对某款新型笔记本电脑进行固件安全审计时，意外发现Secure Boot验证逻辑中存在一个边界检查错误，通过精心构造数据可以绕过数字签名验证。经过回溯测试，该错误从Windows 8最初版本就存在，横跨Windows 10和Windows 11两代产品，影响时间超过十年。研究人员在报告中强调，该漏洞影响范围极广，全球数亿台Windows设备都可能受到影响。他们建议企业和政府机构优先排查受影响的设备。
微软在安全公告中表示，该漏洞需要攻击者具备物理访问权限或本地管理员权限才能利用，远程利用难度较高，目前还没有发现野外攻击利用的报告。微软同时提醒用户，修复该漏洞不仅需要更新Windows，有些设备还需要更新UEFI固件，用户应该定期检查主板厂商提供的固件更新。企业和机构用户应该优先部署修复，尤其是对安全要求较高的政府和金融机构。安全社区呼吁业界加强底层系统安全审计，类似漏洞不应再长期潜伏。