הציון של החולשה הזאת הוא 4.4 מתוך 10, נמוך ביחס למה שהיא עושה. היא מאפשרת לעקוף את Secure Boot, הבדיקה שרצה בכל הפעלה של המחשב ומוודאת שמה שנטען עוד לפני מערכת ההפעלה חתום ומאושר. לפי הדירוג, התוקף צריך להיות כבר על המחשב ועם הרשאות גבוהות, ואין ברשומה דיווח על ניצול בשטח.

מה החולשה?

בשנייה שבה מחשב נדלק, שום הגנה עוד אינה רצה. מערכת ההפעלה אינה טעונה, האנטי וירוס אינו טעון, ומה שכן פועל הוא שרשרת של רכיבי אתחול קטנים שכל אחד מהם טוען את הבא אחריו. מי ששולט בשרשרת הזאת שולט בכל מה שיעלה אחריה. בדיוק בשביל הרגע הזה נבנה מנגנון שבודק את החתימה של כל רכיב לפני שהוא מורשה להיטען, וקוראים לו Secure Boot.

החולשה מאפשרת לעקוף את הבדיקה, כלומר לטעון רכיב שלא היה אמור לעבור אותה. הסיווג הוא CWE-863: לא בדיקה שחסרה, אלא בדיקה שמחליטה לא נכון.

ועכשיו לציון, כי הוא מספר כאן משהו מדויק. הווקטור מסמן תקיפה מקומית, דרישה להרשאות גבוהות, ובלי צורך בפעולה של משתמש. הפרט המעניין הוא מה הוא אומר על הנזק: אין פגיעה בסודיות ואין פגיעה בזמינות, רק בשלמות. החולשה אינה חושפת מידע ואינה משביתה כלום.

מה שהיא מבטלת הוא הביטחון שמה שעלה הוא מה שהיה אמור לעלות. המחשב ממשיך לעבוד, ממשיך לדווח שהכול תקין, וההנחה שכל ההגנות שמעליו בנויות עליה פשוט אינה נכונה יותר. 4.4 מודד נזק ישיר. זה לא המדד היחיד שחשוב כאן.

מי מושפע?

הרשומה מונה גרסאות לא מעטות: Windows 10 בגרסאות 1607, 1809, 1909, 20H2, 21H1 ו-21H2, וכן Windows Server 20H2, Windows Server 2022 ו-Windows Server 2012 R2. ברשימת המוצרים שלה מופיעים גם Windows 11 ו-Windows 8.1.

ויש בה גם חסר שכדאי להכיר. הרשומה אינה נוקבת במספר build מתוקן לאף אחת מהגרסאות. היא אומרת מה חשוף ולא למה להשוות, ולכן אי אפשר להכריע ממנה אם מחשב מסוים קיבל את התיקון או לא. את ההכרעה הזאת אפשר לעשות רק מול הדף של מיקרוסופט.

מכיוון שמדובר ב-Windows, הטווח התיאורטי הוא רוב המחשבים בארץ. מה שמצמצם אותו הוא התנאי שבדירוג: צריך להיות על המחשב, עם הרשאות גבוהות, עוד לפני שמגיעים לחולשה. לכן הקהל שזה נוגע לו בפועל הוא מי שמנהל מחשבים שאנשים אחרים עובדים עליהם, ומי שמחזיק מכונות על גרסאות ותיקות כמו 1607 או Server 2012 R2. למי שעל גרסה כזאת כדאי לבדוק בדף של מיקרוסופט אם קיים לה עדכון בכלל.

האם מנוצלת בפועל?

החולשה אינה מופיעה בקטלוג ה-KEV של CISA, סוכנות הסייבר האמריקאית, שמרכז את החולשות שיש עליהן ראיות לניצול בשטח, ואין ברשומה דיווח על ניצול.

את התאריכים שווה לקרוא ביחד. הרשומה פורסמה ב-11 בינואר 2022, והעדכון האחרון שלה נרשם ב-17 ביוני 2026. רשומה שעדיין זזה ארבע שנים אחרי הפרסום היא רשומה שממשיכים לעבוד עליה.

מה עושים?

1. בדקו קודם אם Secure Boot פעיל אצלכם בכלל. לחצו יחד על Win ועל R, הקלידו msinfo32 ואשרו. בחלון שנפתח יש שורה בשם Secure Boot State, והערך שבה אומר אם המנגנון מופעל. אם הוא כבוי, אין מה לעקוף, ושווה לברר למה הוא כבוי.
2. בדקו על איזה build אתם נמצאים: שוב Win ו-R, הפעם עם הפקודה winver. החלון שנפתח מציג את הגרסה ואת מספר ה-build.
3. התקינו את העדכונים הממתינים: הגדרות, Windows Update, בדיקת עדכונים. עדכון שמחייב הפעלה מחדש אינו מותקן עד שהמחשב אכן עלה מחדש, וזאת הסיבה השכיחה לכך שמחשב שמעדכן את עצמו נשאר על build ישן.
4. להשוואה מול מספרי ה-build המתוקנים, ולבדיקה אם לגרסה שלכם יצא עדכון בכלל, היכנסו לדף החולשה של מיקרוסופט. זה המקור היחיד לנתון הזה, מפני שהרשומה עצמה אינה מכילה אותו.