Независимый исследователь Дмитрий Олексюк (Dmytro Oleksiuk) рассказал о неисправленной 0-day уязвимости в UEFI, которую назвал ThinkPwn. В частности, баг проявляется на устройствах компаний Lenovo и HP, а также должен присутствовать на устройствах других производителей.
...
В Lenovo утверждают, что проблемный код независимые разработчики BIOS получили от компании Intel, и Олексюк согласен с этим выводом. Но исследователь пишет, что Intel исправила проблему еще в середине 2014 года, хотя не совсем ясно, было ли производителю известно о данной уязвимости, или брешь была устранена случайно.
https://xakep.ru/2016/07/04/uefi-0day/
tl;dr: можно шатать secure boot с флешки и, теоретически из ОС