IT之家 7 月 31 日消息，科技媒体 bleepingcomputer 昨日（7 月 30 日）发布博文，报道称联想紧急更新 UEFI（统一可扩展固件接口）固件，修复多个高危安全漏洞。该漏洞若被黑客利用，可以绕过安全启动（Secure Boot），植入和执行恶意代码。
联想集团近日发出警告，指出所有使用定制 Insyde UEFI 固件的一体机桌面电脑存在高风险漏洞。
目前已确认存在风险的设备，包括 IdeaCentre AIO 3 的 24ARR9 和 27ARR9 型号，以及 Yoga AIO 的 27IAH10、32ILL10 和 32IRH8 型号等一体机。
这些漏洞由 Binarly 发现，被本地黑客利用后，可以在系统管理模式（SMM）中执行任意代码。SMM 是一种与操作系统和虚拟机管理器分离的 CPU 模式，在更底层（Ring-2）以更高权限运行。利用 SMM 中的漏洞可能帮助攻击者植入“不可检测”的恶意软件，绕过安全启动等操作系统安全防御。
IT之家附上 6 个漏洞信息如下：
- CVE-2025-4421：SMI 处理程序中的错误（通过 EfiSmiServices 的 Callback7）允许攻击者使用未经验证的 RSI 寄存器写入攻击者控制的 SMRAM 地址，导致 SMM 权限提升和持久固件妥协（CVSS 评分：8.2）。
- CVE-2025-4422：SMI 处理程序中的错误（通过 gEfiSmmCpuPr
