※本記事は一次情報をもとにAI支援によって構成・作成し、事実関係の照合を行っています。
発表内容（事実）
Microsoftは、BlackLotus UEFIブートキットなどの脅威からデバイスを保護するため、Secure Bootのトラストアンカー更新および古いWindowsブートマネージャーの失効に関する取り組みを発表しました。
Secure Bootは、UEFIファームウェアのセキュリティ機能であり、システム起動時に信頼されたソフトウェアのみが実行されるように動作します。しかし、BlackLotusマルウェアは「Baton Drop（CVE-2022-21894）」と呼ばれる脆弱性を悪用し、Secure Bootをバイパスして古い脆弱なバージョンのWindowsブートマネージャーへロールバックする手法を用います。
これに対処するため、Microsoftは4月9日のセキュリティ更新プログラムにおいて、Secure Bootの失効更新（DBX更新）を提供しました。現在のトラストアンカーが2026年に期限を迎えることに伴い、同社は新しいトラストアンカーへの移行を進めています。これにより、すべてのWindowsブートマネージャーの承認に現在使用されている「Microsoft Windows Production PCA 2011」の信頼を失効させることが可能となります。
この記事のポイント
- Secure Bootの役割：UEFIファームウェアにおいて、起動シーケンスの初期段階で検証済みのコードのみを実行し、ブートキットマルウェアからプレブート環境を保護する。
- BlackLotusとBaton Drop：CVE-2022-21894を悪用してSecure Bootをバイパスし、EFIシステムパーティションに悪意あるファイルを配置する。
- DBX更新の提供：4月9日のセキュリティ更新プログラムに含まれており、古い信頼アンカーを失効させて脆弱なコンポーネントの脅威に対処する。
- Microsoft Windows Production PCA 2011の失効：新しいトラストアンカーへの移行に伴い、従来の署名証明書の信頼を失効させる包括的なソリューションが進められている。
- 検証の推奨：DBX更新の適用によりリカバリメディアやネットワークブート（PXE等）に影響が出る可能性があるため、現時点ではテストデバイスでの検証が強く推奨されている。
考察（筆者の見解）
事実：Microsoftは、従来の2011年製PCA証明書から新しいトラストアンカーへの移行を進め、DBX更新を通じて古いWindowsブートマネージャーを失効させる方針を示しています。また、この更新を適用すると、更新されたブートマネージャーコンポーネントを持たない既存のリカバリメディアやネットワークブートサーバーからの起動に影響が及ぶことが明記されています。
推測：この変更はセキュリティ向上に極めて有効である一方で、企業のIT管理においてはネットワークブート（PXE）環境やリカバリ手順の事前検証が不可欠となります。すべてのサポート対象マシンが新しいDB更新に対応する前にサーバー側のバイナリを更新すると起動障害につながるため、導入には慎重な段階的アプローチが求められると考えられます。
意見：筆者は、今回の脆弱性対策がブートキットに対する強力な防御策になる一方で、レガシーな環境や多種多様なデバイスが混在する組織においては、検証の難易度が高くなる可能性があると評価します。
コメント