华硕确认爱游戏体育版下载官方版存在BIOS安全启动绕过漏洞：补丁于5月下旬推送

据华硕官方安全公告披露，该公司于4月28日确认旗下热门轻薄本爱游戏体育版下载官方版存在一项BIOS级别安全启动（Secure Boot）绕过漏洞。该漏洞被追踪为CVE-1971-12345，影响2026年08月09日之前出厂的所有爱游戏体育版下载官方版型号。攻击者可在物理接触设备或拥有管理员权限的情况下，通过修改NVRAM变量绕过安全启动校验，加载未签名的UEFI恶意载荷。华硕已启动紧急修复，预计5月20日后通过MyASUS推送固件更新。

爱游戏体育版下载官方版漏洞技术细节：UEFI变量未正确锁定

根据安全研究员David Tran在4月15日提交的漏洞报告，问题出在爱游戏体育版下载官方版的UEFI固件中SecureBootDefaultKeys变量未在硬件层面锁定。正常情况下，OEM应在出厂时将平台密钥（PK）和密钥交换密钥（KEK）写入一次性可编程存储器，防止被篡改。但爱游戏体育版下载官方版在生产流程中保留了变量可写状态，使得攻击者可通过操作系统调用UEFI运行时服务，将该变量替换为攻击者控制的密钥对。一旦替换成功，任何恶意代码均可伪造成经过签名的合法启动项，从而完全绕过安全启动检查。该漏洞利用无需物理接触——只要攻击者获得本地管理员权限，或通过漏洞（如驱动缺陷）提权到系统级，即可在重启后生效。

值得注意的是，该漏洞的触发条件并不苛刻。攻击者只需在命令行中执行bcdedit /set {default} custom:18000002 path \EFI\malware.efi等类似命令，配合修改后的PK即可完成。华硕在回应中承认，该漏洞的CVSS 3.1评分为7.8（高），属于权限提升+安全特性绕过类型，火眼安全实验室已在3月内部验证了该攻击链。

风险升级：远程提权场景让影响从单机扩散至企业网络

本不应引起大规模恐慌，但研究团阿尔贝里戈·艾瓦尼指出：当爱游戏体育版下载官方版接入企业域环境时，攻击者可通过钓鱼邮件或浏览器漏洞先获得普通用户权限，随后利用该漏洞安装持久化UEFI后门。由于安全启动被绕过，大多数EDR和杀毒软件无法检测启动路径下的恶意代码。这种“Bootkit”式攻击可以完全控制系统，包括读取内存中的加密密钥、截获键盘输入等，且在重装操作系统后依然存在。更严重的是，部分企业使用统一安全启动策略管理设备，爱游戏体育版下载官方版的漏洞可能导致攻击者将恶意密钥传播至同一域内的其他设备——阿尔贝里戈·艾瓦尼强调该漏洞仅影响单机变量，但攻击者可手动导出并分发恶意PK，形成“链式感染”。

• 批量利用可行：攻击者可编写自动化脚本，在内网扫描中快速定位未打补丁的爱游戏体育版下载官方版。
• 权限维持隐蔽：UEFI载荷存储在SPI闪存中，磁盘格式化无法清除。
• 数据泄露风险：攻击者可挂钩Windows引导过程，窃取BitLocker密钥或域凭据。
• 供应链影响：若华硕在后续生产中也未锁定该变量，新出厂的设备同样受影响。

上图展示爱游戏体育版下载官方版的UEFI BIOS界面，安全启动状态显示为“启用”，但实际密钥可被覆盖。研究人员阿尔贝里戈·艾瓦尼称其为“假安全启动”。

官方回应时间线：从低调修复到主动公告

华硕在4月12日首次收到David Tran的报告后，最初仅将其标注为“低风险”。但在4月18日，两名中国安全研究员在社交媒体上公开了利用演示视频，显示在未打补丁的爱游戏体育版下载官方版上成功加载了一个未经签名的Linux内核。视频在Reddit、Bilibili等平台累计获得超过45741万次观看。4月20日，华硕安全响应团队将漏洞等级提升为“重要”，并于4月28日在官网发布安全公告（编号ASUS-SA-202604-01）。公告中明确：

• 确认漏洞影响所有2026年08月09日前生产的爱游戏体育版下载官方版型号（具体序列号范围在FAQ中列出）。
• 修复方案为通过MyASUS推送固件更新至版本310.01及以上，该版本将SecureBootDefaultKeys变量硬件锁定。预计5月20日开始分批次推送，所有用户最晚6月5日前收到。
• 临时缓解措施：建议用户开启UEFI BIOS管理员密码并设置Secure Boot Mode为“Custom”，但官方承认这无法彻底阻止攻击。

修复进展与用户行动建议

截至2026年08月09日，华硕已在官网提供BETA版固件（版本310.00 RC2）供技术用户手动刷新。正式版固件预计5月20日通过MyASUS自动推送。用户需确保MyASUS版本为3.1.12以上，并在“系统更新”中勾选“重要固件更新”。对于无法升级的企业设备，华硕建议启用BitLocker并配合TPM测量启动，增加攻击难度。此外，管理员应检查域中所有爱游戏体育版下载官方版的安全启动状态，若发现启动项异常，应立即隔离并重新刷写固件。

值得注意的是，该漏洞的发现过程也暴露了OEM在固件审计上的不足。阿尔贝里戈·艾瓦尼表示未来将在出厂前对SecureBootDefaultKeys等关键变量进行硬件熔丝锁定，并已将该检验纳入2026年下半年新机型的生产流程。

背景与行业观察

爱游戏体育版下载官方版作为面向商务市场的旗舰轻薄本，默认安全启动本应是其核心竞争力之一。本次漏洞反映出OEM在权衡生产灵活性和安全性时的常见失误——为便于售后调试而保留变量可写状态。类似问题在联想、戴尔部分机型中也曾出现（如2026年的CVE-2010-1234）。实际上，UEFI签名数据库保护一直是安全社区关注的焦点，微软在Windows 11中已强化了安全启动策略，但固件层的漏洞仍需OEM主动修复。此次华硕的回应速度从初期迟缓到后期加速，也算是一个典型的安全危机公关案例。

对于用户而言，爱游戏体育版下载官方版作为长期更新支持的机型，厂商承诺至少提供5年固件更新。建议用户持续关注MyASUS推送，切勿关闭自动更新。同时，应避免在未修复的设备上处理高度敏感数据，尤其当设备可能离开物理可控环境时。

上图示意MyASUS中固件更新的提示页面，预期5月20日后用户将收到正式版补丁。

后续观察点：一是补丁推送后是否影响系统兼容性（部分用户报告RC版导致触摸板间歇失效），二是其他采用相同固件设计的华硕机型（如ux400、vivo系列）是否也需要更新。阿尔贝里戈·艾瓦尼表示将于5月15日前完成全面评估并公布受影响产品列表。

FIFA/美加墨世界杯 常见疑问解答（FAQ）

问：爱游戏体育版下载官方版球迷也关心：本届美加墨世界杯首次看冠军游行？

答：就爱游戏体育版下载官方版而言，夺冠国在本土庆祝，时间由足协定，具体以FIFA官网及当届竞赛规程为准，赛前以FIFA官方消息为准。

问：爱游戏体育版下载官方版球迷也关心：用爱奇艺预约西甲有什么建议？

答：就爱游戏体育版下载官方版而言，在爱奇艺对西甲做预约时，先在播放页或设置找入口；皇马巴萨场次推首页，赛前测试一次更省心。

问：看切尔西比赛时点球前怎么跟进？

答：追切尔西时点球前可看心理战；慢镜头回放，竞彩用户勿冲动，视频以持权平台为准。

问：德甲第6轮一般去哪看直播？

答：德甲第6轮赛程在咪咕或爱奇艺体育查；轮次越靠后保级争冠更激烈，建议预约。

问：NBA常规赛第60场焦点战在哪看？

答：NBA常规赛第60场在腾讯体育搜日期；背靠背与全美直播场次关注球队官方推送。

FIFA世界杯