Secure Boot הוא המנגנון שבודק, בכל הפעלה של המחשב, שמה שנטען לפני מערכת ההפעלה אכן חתום ומאושר. החולשה הזאת מאפשרת לעקוף את הבדיקה. לפי הדירוג היא אינה דרך להיכנס למחשב מרחוק אלא דורשת שהתוקף יהיה כבר עליו ועם הרשאות גבוהות, והציון הוא 6.7 מתוך 10.

מה החולשה?

כשמחשב עולה, יש רגע שבו עוד לא רצה שום הגנה. בשלב הזה נטענים רכיבי האתחול, ומי ששולט בהם שולט בכל מה שיבוא אחריהם, כולל מערכת ההפעלה והאנטי וירוס שבתוכה. Secure Boot נועד בדיוק לרגע הזה: הוא בודק חתימה של כל רכיב לפני שהוא נטען, ומסרב לטעון רכיב שאינו מאושר.

כשהבדיקה הזאת נעקפת, ההגנה אינה נשברת בקול. המחשב ממשיך לעלות כרגיל ומדווח שהכול בסדר, בעוד שהרכיב שנטען אינו זה שהיה אמור להיטען. הסיווג כאן הוא CWE-863, משפחת הכשלים שבהם ההחלטה אם משהו מורשה מתקבלת בצורה לקויה, כך שמה שאינו מאושר עובר את הבדיקה.

כאן צריך לומר מה הרשומה אינה אומרת. התיאור ב-NVD הוא שורה אחת, "עקיפה של תכונת האבטחה Secure Boot", והוא אינו מתאר את המנגנון, את הרכיב שנעקף או את אופן התיקון. הפירוט נמצא בדף של מיקרוסופט, והקביעות היחידות שאפשר לעשות מהרשומה עצמה הן הגרסאות ומה שהדירוג אומר.

ומה שהדירוג אומר חשוב להבנת התמונה: התקיפה מקומית, לא מהרשת, ודורשת הרשאות גבוהות. במילים אחרות זה אינו הכשל שדרכו מישהו נכנס למחשב, אלא מה שתוקף שכבר נכנס והשיג הרשאות יכול לעשות כדי להישאר שם, מתחת למערכת ההפעלה ולכליה.

מי מושפע?

הרשומה מונה שורה של גרסאות Windows עם מספר ה-build שבו הן מתוקנות. ב-Windows 10: גרסה 1507 מתוקנת ב-10.0.10240.19926, גרסה 1607 ב-10.0.14393.5921, גרסה 1809 ב-10.0.17763.4377, וגרסאות 20H2, 21H2 ו-22H2 בענף 10.0.19042 עד 10.0.19045 בבנייה 2965. ברשימה מופיעים גם Windows 11 וגם Windows Server מ-2008 R2 ועד 2012 R2, ומספרי ה-build המדויקים שלהם נמצאים בדף של מיקרוסופט.

מכיוון שמדובר ב-Windows, הטווח בישראל הוא פשוט רוב המחשבים האישיים ורוב עמדות העבודה בארגונים. מה שמצמצם את התמונה אינו המוצר אלא התנאי: תוקף צריך להיות על המחשב עם הרשאות גבוהות לפני שהוא מגיע לכאן.

ולכן הקהל שזה באמת נוגע לו הוא מי שמנהל מחשבים שאחרים משתמשים בהם, ומי שמחזיק מכונות ישנות שתקועות על גרסה שאינה מקבלת עוד עדכונים שוטפים. מחשב כזה אינו יכול להגיע למספר ה-build המתוקן, וזאת החלטה שצריך לקבל לגביו ולא רק עדכון שצריך להתקין.

האם מנוצלת בפועל?

החולשה אינה מופיעה בקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, ואין ברשומה דיווח על ניצול. היא פורסמה במאי 2023, והעדכון האחרון שלה הוא מיוני 2026.

כדאי לזכור מה סוג החולשה הזה שווה לתוקף. עקיפה של Secure Boot אינה שימושית לפריצה אלא להישארות, ולכן היא מופיעה דווקא בידי מי שמשקיע בגישה ארוכת טווח ולא בידי מי שסורק את האינטרנט. זה גם מסביר למה חולשות מהמשפחה הזאת מתגלות לרוב באיחור.

מה עושים?

1. בדקו איזה build מותקן אצלכם: הקישו Win ו-R יחד, הקלידו winver ואשרו. החלון שנפתח מציג את גרסת Windows ואת מספר ה-build.
2. השוו למספר של הגרסה שלכם מהרשימה למעלה. אם ה-build שלכם נמוך ממנו, העדכון חסר.
3. התקינו את עדכוני Windows: הגדרות, Windows Update, בדיקת עדכונים, והתקנה של מה שמוצע כולל עדכונים שמחייבים הפעלה מחדש. אתחול שנדחה שוב ושוב הוא הסיבה השכיחה לכך שמחשב מעודכן נשאר על build ישן.
4. הפרטים לכל גרסה, כולל Windows 11 ו-Windows Server, נמצאים בדף החולשה של מיקרוסופט. אם המחשב שלכם על גרסה שאינה מקבלת עוד עדכונים, בדקו שם אם קיים עבורה עדכון בכלל, ואם לא, ההחלטה היא על החלפת הגרסה ולא על התיקון.