完全パッチ済みWindowsをUEFI bootkit「BlackX」が感染
原題: UEFI bootkit infected fully patched Windows machines. Is Microsoft to blame?
なぜ重要か
完全パッチ済み環境でも感染するという事実は、Secure Bootの信頼性を根底から揺るがし、企業のエンドポイントセキュリティ戦略の見直しを迫る重大な事例となる。
セキュリティ研究者は2026年11月、完全にパッチ適用済みのWindows 11マシンをUEFI bootkit「BlackX」が感染させた事例を報告した。BlackXは2022年に発覚したCVE-2022-21894（通称「Baton Drop」）を悪用し、Secure Bootを迂回。Microsoftは同脆弱性のパッチを2022〜2024年にかけて順次提供していたにもかかわらず、感染が発生した原因はMicrosoftのSecure Boot保護に関する不明確な方針にあると指摘されている。
UEFIとは、コンピュータ電源投入直後に起動するファームウェアで、ハードウェア初期化やOSの読み込みを担う。その重要な機能の一つがSecure Bootだ。起動ソフトウェアのデジタル署名を順に検証することで、不正なブートコードの実行を防ぐ仕組みである。
2023年、「BlackLotus」が完全更新済みWindows 11でSecure Bootを迂回できる初の野良UEFI bootkitとして記録された。Microsoftは悪用された脆弱性CVE-2022-21894を2022年にパッチ済みだったが、脆弱な旧バージョンのブートマネージャーに署名したデジタル証明書の信頼を当初は失効させなかった。BlackLotusはその空白を突いて悪意あるカーネルモードドライバーを読み込んだ。
Microsoftはその後、2023年に脆弱なブートマネージャーを信頼しない新証明書を追加し、2024年には旧証明書の信頼を失効させる手段を提供した。今回報告されたBlackXに感染した組織は、これらすべてのパッチを適用していた。それでも感染が生じた背景には、Microsoftが提供する保護の有効化に関する説明が不明確であり、パッチを当てただけでは実際の保護が有効にならないケースがあったと考えられる。
UEFI bootkitは起動プロセスの極めて早い段階で実行されるため、多くのOSやセキュリティ防御が稼働する前に悪意あるドライバーをWindowsカーネルに読み込める。さらに感染したブートパーティションが残存していれば、OSの再インストール後も生き残る可能性がある。検出には専用ツールが必要で、ステルス性・持続性・OS制御の広さを兼ね備えた高度な攻撃手段だ。
BlackLotusの登場は、Secure Bootを迂回するbootkitが理論上の脅威から現実の脅威へと移行した転換点とされる。BlackXはその系譜を継ぎ、Microsoftのパッチ適用プロセスの不透明さを突いた形となった。