Ruim zes op de tien IT-verantwoordelijken voeren firmware-updates niet uit zodra ze beschikbaar zijn, blijkt uit onderzoek van HP Wolf Security. Een BIOS-update dicht nochtans lekken in de software die je laptop opstart nog voor Windows laadt, een laag waar antivirus niets ziet.
HP Wolf Security ondervroeg in december 2024 ruim 800 IT-verantwoordelijken in zes landen. Meer dan 60 procent voert firmware-updates voor laptops of printers niet meteen uit, en 57 procent geeft toe bang te zijn dat een update iets kapotmaakt. Welke zwakke plekken dat oplevert, onderzocht HP Wolf Security eerder al voor de platformbeveiliging.
Windows Update draait op de meeste bedrijfslaptops automatisch. De firmware eronder, het UEFI-BIOS dat de hardware initialiseert en het besturingssysteem start, krijgt veel minder aandacht. Een aanvaller die de firmware beheerst, overleeft een herinstallatie van Windows en blijft onzichtbaar voor de meeste beveiligingssoftware. Het is een van de redenen waarom HP en Microsoft het endpoint als de nieuwe frontlinie beschouwen.
Lekken en verlopen certificaten
In december 2023 beschreef beveiligingsbedrijf Binarly LogoFAIL: fouten in de code waarmee de firmware het logo van de fabrikant toont bij het opstarten, aanwezig bij de drie grote firmwareleveranciers. In juli 2024 volgde PKfail, waarbij honderden laptopmodellen bleken te werken met een testsleutel die letterlijk “DO NOT TRUST” heette, zodat Secure Boot te omzeilen was. In juni 2025 meldde hetzelfde bedrijf een lek dat op de meeste UEFI-toestellen ongesigneerde code liet draaien vóór het besturingssysteem.
Beveiligingsbedrijf ESET vond in september 2025 HybridPetya, een ransomware die Secure Boot omzeilt via een lek dat Microsoft in januari 2025 al had afgesloten; het bedrijf zag de malware nog niet in het wild. In juli 2026 ontdekte ESET elf oude, door Microsoft gesigneerde UEFI-programma’s die Secure Boot op de meeste systemen omzeilden. Microsoft trok ze in. Zulke lekken worden gedicht door een firmware-update of door een update van de lijst met herroepen handtekeningen.
De certificaten waarmee Microsoft sinds 2011 de opstartketen tekent, verlopen dit jaar: de sleutel voor de firmware op 24 juni 2026, het certificaat voor opstartsoftware van derden op 27 juni 2026 en dat voor de Windows-opstartlader op 19 oktober 2026. Microsoft schrijft dat toestellen zonder de nieuwe certificaten van 2023 geen nieuwe beveiligingen voor het opstartproces meer ontvangen, zoals updates van de opstartlader en van de herroepingslijsten.
De nieuwe certificaten komen via Windows Update, maar de firmware moet ze aanvaarden, en daarvoor leveren fabrikanten waar nodig een BIOS-update. In de logboeken van Windows toont gebeurtenis 1808 een geslaagde overgang en 1801 een mislukte.
Zakelijke laptop kopen
Een laptop is allang geen standaardtool meer. In het AI-tijdperk is het een strategisch instrument dat veiligheid, prestaties en gebruikerservaring combineert. Deze whitepaper helpt…
Een BIOS-update uitrollen
Fabrikanten publiceren firmware via Windows Update. Met het beleid voor stuurprogramma- en firmware-updates in Intune keurt de IT-afdeling ze automatisch of per ring goed; Windows Autopatch voegt uitgestelde uitrol toe van nul tot dertig dagen. Voor HP-laptops bestaat daarnaast de HP Client Management Script Library, waarmee één PowerShell-opdracht de juiste BIOS-versie ophaalt, BitLocker tijdelijk opschort en de update klaarzet.
Zonder beheertool kan een kleine vloot terecht bij de HP Support Assistant op het toestel zelf, of bij de BIOS-update die Windows Update aanbiedt. Bij elke methode hangt het toestel best aan de lader, en BitLocker mag de nieuwe firmware niet als manipulatie zien, anders vraagt de laptop na het herstarten om de herstelsleutel. Hoe firmware-updates eerder misliepen bij printers, las je in ons artikel over printerfirmware.
Wat de hardware zelf doet
Zakelijke laptops hebben intussen bescherming ingebouwd voor het geval een update te laat komt. HP Sure Start controleert bij elke start de integriteit van de firmware; wijkt één bit af, dan zet een aparte beveiligingschip een eigen kopie van het BIOS terug.
HP Sure Admin vervangt het BIOS-wachtwoord door eenmalige codes uit een app, zodat er geen gedeeld wachtwoord meer nodig is. In het onderzoek van HP Wolf Security van december 2024 gaf 53 procent van de IT-verantwoordelijken toe dat BIOS-wachtwoorden gedeeld worden of zwak zijn.
