🧠 Contexto de la Investigación

Este repositorio documenta la investigación sobre CVE-2026-25250, una vulnerabilidad de omisión de Secure Boot divulgada a Microsoft y asignada con un CVE en abril de 2026. Rápidamente destacó como uno de los problemas de seguridad de firmware más significativos del año, precisamente porque el componente vulnerable está firmado por Microsoft y, por lo tanto, es confiable de forma incondicional en la gran mayoría de los sistemas Windows con UEFI habilitado.

La vulnerabilidad fue descubierta por Mickey Shkatov y Stanislav Lyakhov en Eclypsium, uno de los equipos de investigación de seguridad de firmware y cadena de suministro más destacados de la industria. Mickey Shkatov es una figura de larga trayectoria en la investigación ofensiva de UEFI, autor de BootHole (CVE-2020-10713, una omisión crítica de Secure Boot en GRUB2 que afectó prácticamente a todas las distribuciones de Linux y configuraciones de arranque dual con Windows), y presentador de "One Bootloader to Load Them All" en DEF CON 30 junto a Jesse Michael, una charla que catalogó sistemáticamente cómo los cargadores de arranque de terceros firmados por Microsoft representan una debilidad a nivel de clase en el ecosistema de Secure Boot.

CVE-2026-25250 se ubica directamente en esa clase.

Lo que lo hace particularmente instructivo es su simplicidad: sin corrupción de memoria, sin fallo criptográfico en el firmware en sí, solo un binario confiable tomando una decisión insegura sobre qué carga a continuación. Un solo eslabón débil es suficiente para colapsar todo el modelo de Secure Boot en un sistema objetivo.

VM de Windows 10/11 (QEMU o VMware)
├── Secure Boot: Habilitado
├── Horizon DataSys Reboot Restore: Instalado
├── ESP accesible mediante: mountvol X: /S
└── Objetivos:
	HorizonDataSys
        X:\EFI\shdloader.efi ← firmado, confiable, carga la siguiente etapa
        X:\EFI\Shield.efi    ← cargado sin ninguna verificación

Firmware
  └── verifica shdloader.efi          ✅ Microsoft CA 2011, confiable
        └── ManualPEParse(Shield.efi) ❌ sin LoadImage, sin comprobación de firma
              └── EntryPoint()        💥 código controlado por el atacante, pre-OS

Firmware → verifica el cargador de arranque → el cargador de arranque ejecuta solo código verificado

Firmware → verifica shdloader.efi (✅ confiable)
             ↓
           shdloader.efi → carga Shield.efi (❌ no verificado)
                             ↓
                           Código arbitrario sin firmar se ejecuta antes del arranque