Один клик на сайте — и ASUS запускает сторонний код с повышенными правами.

Уязвимость в ПО ASUS позволяла хакерам выполнять произвольный код с правами администратора всего в один клик — через компонент DriverHub, автоматически запускаемый из BIOS при установке Windows. Этот сервис связывался с сайтами через локальный RPC-интерфейс и, благодаря некорректной проверке доменов, позволял обойти защиту.

Главной точкой атаки стал установщик Wi-Fi-драйвера, который запускал указанное в конфигурации приложение — даже вредоносное, если предварительно загрузить нужные файлы и обойти проверку подписи через подписанный компонент ASUS.

ASUS устранила уязвимость (CVE-2025-3462 и CVE-2025-3463, оценки 8.4 и 9.4 CVSS) спустя 10 дней после уведомления. Несмотря на серьёзность проблемы, компания отказалась выплачивать награду, ограничившись предложением внести исследователя в «зал славы».