微軟已解決了一個重大的安全漏洞，該漏洞在半年多的時間裡使Windows 11 在系統最關鍵的層級上受到惡意軟體攻擊。 令人擔憂的是，微軟在明知其存在的情況下，在如此長的時間內仍未修補這一漏洞，這或許並不令人意外，當然我們強烈建議用戶立即應用更新。

此漏洞（CVE-2024-7344）允許惡意攻擊者將惡意程式碼偷偷植入設備，從而繞過Windows 11 的許多內建安全防禦。 該漏洞利用了某些第三方韌體實用程式在處理安全UEFI 啟動過程時存在的一個缺陷，從而提升了攻擊者的系統權限，並使其惡意有效載荷隱藏在眾目睽睽之下。 這類基於韌體的攻擊是最難發現的。

這個問題源自於一些合法的系統實用程式如何使用微軟批准的數位憑證。 微軟對必須在安全啟動階段運行的第​​三方韌體應用程式有嚴格的人工審核流程。 然而，安全公司ESET 的一名研究人員發現，至少有七家不同的供應商一直以不安全的方式使用名為”reloader.efi”的簽章韌體組件。

透過使用自訂可執行載入器，這些實用程式可以無意中繞過微軟的安全檢查，運行任何韌體程式碼，包括安全啟動保護本應阻止的未簽名二進位檔案。 這為老練的攻擊者打開了方便之門，他們可以在合法的實用程式上搭載惡意軟體。

在不知情的情況下利用其係統實用程式暴露了此風險的供應商包括Howyar Technologies、Greenware、Radix、Sanfong、WASAY、CES 和SignalComputer。 它們都已發布更新來解決這個問題。 微軟也撤銷了受影響韌體版本的數位證書，這應該可以防止駭客利用這個安全漏洞。

不過，更重要的是，在ESET 於2024 年7 月首次向雷德蒙德通報此問題後，該漏洞如何持續存在了七個多月。 沒有證據表明駭客在實際攻擊中主動利用了這個漏洞。 然而，如此明顯的漏洞存在如此長的時間，令人不安。

微軟已推送了一個更新來解決CVE-2024-7344，因此Windows 11 用戶應確保他們已安裝了所有最新的補丁，特別是1 月14 日補丁星期二發布的補丁。