Les décideurs IT négligent les mises à jour firmware !

Autres chiffres : 47 % des mots de passe BIOS sont insuffisamment robustes ou rarement modifiés, exposant davantage les entreprises, ce qui augmente la probabilité d’intrusion et de perte de données. En fin de cycle, 57 % des entreprises françaises détruisent les appareils par crainte de ne pas effacer totalement les données, générant des déchets électroniques freinant les objectifs ESG. De plus, 76 % des employés conservent un ancien PC professionnel, amplifiant les risques de fuite de données sensibles.

Face à ces chiffres inquiétants et ces retours surprenants, Benoit Grunemwald, Expert en Cybersécurité chez ESET réagit et souligne « l’étude d’HP met en lumière un constat inquiétant : 58 % des décideurs IT n’appliquent pas les mises à jour firmware, malgré leur rôle clé dans la sécurisation des équipements. Ce manquement expose les entreprises à des risques presque invisibles, qui prennent la forme de menaces UEFI (Unified Extensible Firmware Interface).

Ces bootkits et autres menaces UEFI ciblent directement les firmwares. Une fois compromis, un firmware permet aux cybercriminels d’exécuter des attaques persistantes et discrètes, contournant même les réinstallations système ou les solutions de protection des postes. C’est le cas du bootkit BlackLotus, qui exploite la vulnérabilité (CVE-2022-21894) pour désactiver des protections comme Secure Boot et BitLocker, tandis qu’ESPecter modifie le Windows Boot Manager pour exécuter son code malveillant dès le démarrage. Découverte en janvier 2025, la vulnérabilité CVE-2024-7344 démontre comment des applications UEFI signées peuvent être utilisées à des fins malveillantes, compromettant Secure Boot via des méthodes de chargement non sécurisées. Ces exemples soulignent que les attaques UEFI constituent une menace durable et complexe, ce qui devrait amener les organisations à considérer une approche systématique des firmwares pour se prémunir des attaques UEFI. »