CVE-2022-21894被 BlackX 复用的 Baton Drop 安全启动绕过
在未完成所需吊销的主机上复用已知绕过来维持持久化，并非新的远程初始访问漏洞。
BlackX 在已打补丁但未完成安全启动吊销的 Windows 主机上保持持久化
Kaspersky 报告中亚外交机构出现 BlackX 感染。攻击者已掌握管理员权限，并利用已知安全启动绕过；安装 Windows 更新并未自动完成所需吊销。对 APT41 的归因为中等置信度。
- 披露时间
- 2026年10月22日
- 公开披露日期
- 严重程度
- 化粪池炸了
- 本页收录 1 个 CVE
- 波及范围
- 缺少安全启动吊销的 Windows 主机；部署前需要已取得管理员权限
- Windows · UEFI · BlackX · exploited
- 在野利用
- 已发现
- Kaspersky 在定向入侵中观察到 BlackX 及后续载荷
发生了什么
这批新披露细节的攻击活动已确认利用漏洞并实现启动层持久化，因此评为 L4，并非新发现的 Windows 零日漏洞。Kaspersky 观察到塔吉克斯坦、乌兹别克斯坦和土库曼斯坦的外交机构遭攻击；最初如何进入网络尚未说明。与 APT41 的关联属于分析判断，不能当作已确认归因。
安装前需要管理员权限。调查发现主机已打补丁，却未完成吊销步骤；证书过期不等于已加入 DBX 阻止列表。应遵循 Microsoft 包含恢复准备的分阶段流程，不要只复制孤立的注册表命令。
马桶里有什么
案发时间线
2026年10月22日
Kaspersky 发布 BlackX 调查
新增活动细节解释了安装 Windows 补丁后仍能持久化的原因。
约 2026年初
研究人员在中亚外交机构发现感染
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- Kaspersky Securelist BlackX 调查一手来源已观察到的攻击活动、痕迹、缺失的吊销，以及中等置信度 APT41 归因
- Microsoft KB5025885一手来源受支持的部署步骤、固件测试、恢复介质准备及 BitLocker 恢复注意事项