themalwareguardian/cve-2026-25250تحليل واستغلال لثغرة CVE-2026-25250، وهي تجاوز لـ Secure Boot في Horizon DataSys Reboot Restore حيث يقوم shdloader.efi بتحميل Shield.efi دون تحقق.
محمل إقلاع تابع لجهة خارجية موقّع من مايكروسوفت يقوم بتحميل ملف EFI ثانوي دون أي تحقق من التوقيع أو السلامة، مما ينهار سلسلة الثقة الخاصة بـ Secure Boot من الداخل.
يوثق هذا المستودع البحث حول CVE-2026-25250، وهي ثغرة تجاوز لـ Secure Boot تم الإبلاغ عنها لمايكروسوفت وتم تخصيص CVE لها في أبريل 2026. وسرعان ما برزت كواحدة من أهم قضايا أمان البرامج الثابتة لهذا العام، تحديدًا لأن المكوّن القابل للاستغلال موقّع من مايكروسوفت وبالتالي فهو موثوق به دون قيد أو شرط عبر الغالبية العظمى من أنظمة Windows التي تدعم UEFI.
تم اكتشاف الثغرة بواسطة Mickey Shkatov وStanislav Lyakhov في Eclypsium، أحد أبرز فرق أبحاث أمان البرامج الثابتة وسلسلة التوريد في الصناعة. Mickey Shkatov هو شخصية بارزة منذ فترة طويلة في أبحاث هجوم UEFI، ومؤلف BootHole (CVE-2020-10713، ثغرة حرجة في تجاوز Secure Boot عبر GRUB2 أثرت على كل توزيعات لينكس تقريبًا وأنظمة الإقلاع المزدوج مع Windows)، ومقدّم عرض "One Bootloader to Load Them All" في DEF CON 30 إلى جانب Jesse Michael، وهو حديث قام بشكل منهجي بتصنيف كيفية تمثيل محملات الإقلاع التابعة لجهات خارجية والموقّعة من مايكروسوفت لضعف على مستوى الفئة في نظام Secure Boot البيئي.
تقع CVE-2026-25250 مباشرة ضمن تلك الفئة.
ما يجعلها مفيدة بشكل خاص هو بساطتها: لا فساد في الذاكرة، ولا خلل تشفيري في البرنامج الثابت نفسه، فقط ملف ثنائي موثوق يتخذ قرارًا غير آمن بشأن ما يحمّله بعد ذلك. حلقة ضعيفة واحدة كافية لانهيار نموذج Secure Boot بأكمله للنظام المستهدف.
تم اكتشاف CVE-2026-25250 أثناء تحليل مكونات إقلاع UEFI التابعة لجهات خارجية والمنشورة في بيئات الاسترداد المؤسسية. المنتج المتأثر هو حل Reboot Restore من Horizon DataSys.
تم تخصيص الثغرة بواسطة MITRE وليس مايكروسوفت، لأن الخلل يكمن في برامج ثابتة تابعة لجهة خارجية (shdloader.efi)، وليس في Windows أو أي كود من تأليف مايكروسوفت.
المراجع الرسمية:
مركز استجابة أمان مايكروسوفت - تحديثات أبريل 2026 الثلاثاء
نشرة تحديث أمان شهرية.
إدخال CVE الرسمي. درجة CVSS 6.0 - AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:N. CWE-325: خطوة تشفيرية مطلوبة مفقودة.
الإفصاح البحثي الأصلي من فريق الاكتشاف، بما في ذلك منشور LinkedIn الذي جلب هذه الثغرة لأول مرة إلى انتباه الجمهور.
إفصاح Eclypsium، المنشور على LinkedIn بواسطة فريق الاكتشاف، يوفر سياقًا كافيًا لتحديد البرنامج المتأثر وتنزيله مباشرة من موقع البائع.
مثبّت Horizon DataSys Reboot Restore متاح للجمهور، وتثبيته على نظام اختبار يضع كلاً من shdloader.efi وShield.efi في قسم نظام EFI، حيث يمكن فحصهما بشكل ثابت أو ملاحظتهما أثناء التشغيل.
إعداد المختبر الموصى به:
Windows 10/11 VM (QEMU أو VMware)
├── Secure Boot: مفعّل
├── Horizon DataSys Reboot Restore: مثبّت
├── الوصول إلى ESP عبر: mountvol X: /S
└── الأهداف:
HorizonDataSys
X:\EFI\shdloader.efi ← موقّع، موثوق، يحمّل المرحلة التالية
X:\EFI\Shield.efi ← يتم تحميله دون أي تحقق
بمجرد التثبيت، يمكن تأكيد أن shdloader.efi موقّع بـ Microsoft CA 2011 عبر sigcheck.exe (Sysinternals) أو pesign. غياب أي استدعاء LoadImage / StartImage في مسار تحميل Shield.efi يكون مرئيًا فورًا في التحليل الثابت.
تؤثر هذه الثغرة على سلسلة إقلاع متعددة المراحل، وليس على ملف ثنائي واحد.
الثغرة لا تكمن في البرنامج الثابت. إنها تكمن في منطق محمل إقلاع موثوق، وهو ملف ثنائي وافق عليه البرنامج الثابت بالفعل، يختار تحميل ملف ثنائي ثانوي عبر مسار كود يتجاوز كل فحوصات الأمان.
Firmware
└── يتحقق من shdloader.efi ✅ Microsoft CA 2011، موثوق
└── ManualPEParse(Shield.efi) ❌ لا LoadImage، لا فحص توقيع
└── EntryPoint() 💥 كود يتحكم به المهاجم، قبل نظام التشغيل
محيط Secure Boot قوي فقط بقدر قوة أقل ملف ثنائي يثق به.
CVE-2026-25250 هي ثغرة تجاوز لـ Secure Boot ناتجة عن تحقق غير سليم من ملف EFI ثانوي يتم تحميله أثناء عملية الإقلاع. محمل الإقلاع المتأثر (shdloader.efi) موقّع وموثوق بواسطة Secure Boot، لكنه يحمّل Shield.efi عبر روتين تحليل PE يدوي دون أي تحقق تشفيري من أي نوع.
إنه فشل في التصميم ونموذج الثقة، مكوّن موثوق يتخذ قرارًا غير آمن يلغي جميع الحمايات اللاحقة.
يفرض Secure Boot سلسلة ثقة يتم فيها التحقق من كل مكوّن يتم تنفيذه أثناء تسلسل الإقلاع قبل نقل التحكم. النموذج يصمد فقط إذا التزم كل ملف ثنائي موثوق في السلسلة بهذا العقد:
Firmware → يتحقق من محمل الإقلاع → محمل الإقلاع ينفذ فقط الكود الموثوق
CVE-2026-25250 تكسر الحلقة الثانية:
Firmware → يتحقق من shdloader.efi (✅ موثوق)
↓
shdloader.efi → يحمّل Shield.efi (❌ غير موثوق)
↓
كود عشوائي غير موقّع يُنفَّذ قبل الإقلاع
إنفاذ Secure Boot على مستوى البرنامج الثابت يصبح غير ذي صلة بمجرد أن يقدم ملف ثنائي موثوق مسار تنفيذ غير موثوق.
مصنّف كالتالي:
يتم تنفيذ عملية حساسة أمنيًا دون خطوة تحقق تشفيرية مطلوبة، مما يسمح للمهاجم بتجاوز الحماية التي كانت ستفرضها تلك الخطوة.
| الخطوة | تم تنفيذها | ملاحظات |
|---|---|---|
| تحديد موقع Shield.efi على ESP | ✅ | وصول قياسي لنظام الملفات |
| قراءة الملف في الذاكرة | ✅ | - |
| تحليل ترويسات PE يدويًا | ✅ | تنفيذ مخصص |
| التحقق من التوقيع | ❌ | لم يتم تنفيذه |
| الفحص مقابل db / dbx | ❌ | لم يتم تنفيذه |
| استدعاء LoadImage / StartImage | ❌ | تم تجاوزه بالكامل |
| نقل التنفيذ إلى نقطة الدخول | ✅ | استدعاء مباشر |
غياب LoadImage / StartImage هو السبب الجذري. خدمات الإقلاع UEFI هذه هي نقطة التكامل لإنفاذ سياسة Secure Boot، وتجاوزها يعني تجاوز كل شيء.
يتطلب الاستغلال وصول مسؤول محلي وإعادة تشغيل واحدة.
عند الإقلاع التالي، يتم تنفيذ shdloader.efi (موثوق بواسطة البرنامج الثابت)، ويحمّل الملف الثنائي الذي يتحكم به المهاجم، وينقل التنفيذ، قبل نظام التشغيل، قبل EDR، قبل إنفاذ أي سياسة إقلاع مُقاسة، دون أي اعتراض من Secure Boot.
يتيح:
Eclypsium - إفصاح CVE-2026-25250
البحث الأصلي بواسطة Mickey Shkatov وStanislav Lyakhov. منشور Eclypsium على LinkedIn الذي يعلن عن الاكتشاف يربط ببرنامج Horizon DataSys، مما يسمح بتحليل مستقل.
Microsoft MSRC - تحديثات أبريل 2026 الثلاثاء
نشرة أمان مايكروسوفت.
إدخال CVE الرسمي. تم تخصيصه بواسطة MITRE لأن الثغرة تقع في برامج ثابتة تابعة لجهة خارجية، وليس في كود مايكروسوفت.
Eclypsium - BootHole (CVE-2020-10713)
Mickey Shkatov & Jesse Michael - ثغرة حرجة في تجاوز Secure Boot عبر GRUB2 أثرت على جميع توزيعات لينكس تقريبًا وأنظمة الإقلاع المزدوج مع Windows.
DEF CON 30 - "One Bootloader to Load Them All"
Mickey Shkatov & Jesse Michael - تحليل منهجي لمحملات الإقلاع التابعة لجهات خارجية والموقّعة من مايكروسوفت كسطح هجوم على مستوى الفئة لـ Secure Boot. CVE-2026-25250 هي حالة مباشرة من نموذج التهديد هذا.
CWE-325: خطوة تشفيرية مطلوبة مفقودة
تصنيف السبب الجذري للتحقق المفقود في مسار تحميل
shdloader.efi.
مواصفات UEFI - خدمات الإقلاع: LoadImage / StartImage
خدمات الإقلاع UEFI التي تفرض سياسة Secure Boot - تم تجاوزها بالكامل بواسطة محمل PE اليدوي في
shdloader.efi.
تعمل على شيء مشابه؟ تبحث في UEFI، أمان النواة، الاستغلال، أو موضوع أمني مثير آخر؟ إذا كنت بحاجة إلى مساعدة في تطوير استغلال، أو استكشاف تقنية، أو تريد فقط تبادل الأفكار، فلا تتردد في التواصل. أنا دائمًا منفتح لمناقشة الأبحاث، والمساعدة حيث يمكنني، والتعاون في مشاريع مثيرة للاهتمام. لا تتردد في التواصل معي على LinkedIn.