必须通过厂商签名认证路径升级BIOS以防御CVE-2025-38412等漏洞；需先用msinfo32和wmic命令确认型号与版本，再官网下载签名.exe工具或UEFI内刷固件，全程禁断电、禁中断。
Windows系统中升级主板BIOS固件以防御已知安全漏洞（如2025年曝出的TPM初始化绕过、Secure Boot签名验证失效、fTPM内存映射泄露等），必须通过厂商签名认证路径完成，不可使用第三方未签名工具或魔改固件，否则可能触发BitLocker恢复密钥强制索取或导致启动失败。
确认当前BIOS版本与漏洞匹配状态
这一步不能跳过——很多用户刷完才发现根本没中招，白担风险。CVE-2025-38412、CVE-2025-7190等主板级漏洞只影响特定主板型号+BIOS组合，例如华硕ROG STRIX B650E-F在F12a及更早版本中存在fTPM侧信道泄露，但F13版已修复。
同时按下 Windows键 + R，输入 msinfo32 并回车，在右侧栏找到“BIOS 版本/日期”，完整复制（如：F12a 04/22/2024）。
右键“开始”按钮 → 选择“终端（管理员）”，执行：
wmic baseboard get product, manufacturer, version
将输出的三项结果（如：PRIME B650M-A / ASUSTeK COMPUTER INC. / Rev 1.xx）与官网BIOS更新日志逐字比对，重点看“Security Fixes”条目是否包含你设备型号和当前版本号。
从品牌官网下载并运行签名.exe更新程序
这是防漏洞升级最稳妥的路径，全程由Windows驱动签名机制校验，自动拒绝篡改固件包，且内置断电保护与失败回滚逻辑。
访问对应品牌支持页（如 support.hp.com、www.asus.com/support、support.lenovo.com），用上一步获取的主板型号或设备序列号精确搜索。
在“BIOS & Firmware”分类下，筛选标有“Security Update”或“CVE-2025-xxxxx”字样的最新正式版（非Beta），下载后右键 → “以管理员身份运行”。
安装过程中出现“我已了解风险”提示时，必须勾选才能继续——不勾选则无法写入固件区，更新会静默终止。
点击“更新”后系统自动重启，黑屏阶段持续约45秒属正常；若屏幕长时间无反应且风扇停转，才需长按电源键强制关机（仅限此极端情况）。
通过UEFI内置工具从U盘刷写（当.exe工具报错或系统无法进桌面时）
方法一：U盘准备与文件放置
准备一个8GB以上、格式化为FAT32的U盘（NTFS/exFAT会被多数主板拒绝识别）；从官网下载对应型号的纯固件文件（华硕为.CAP、微星为.MSI、技嘉为.F19），解压后直接拷贝至U盘根目录，不得放入任何文件夹。
方法二：进入UEFI并调用刷新工具
插入U盘 → 重启 → 在厂商Logo出现瞬间连续按Del（技嘉/微星）或F2（华硕）→ 进入UEFI后按F7切换高级模式 → 找到“Tool”→“ASUS EZ Flash 3 Utility”（华硕）或“M-Flash”（微星）菜单。
第一步：在设备列表中选中你的U盘
第二步：在文件列表中高亮选中固件文件（如XXX.CAP）→ 按回车
第三步：看到警告弹窗后，键盘输入YES（不是点击鼠标）→ 确认开始刷写
刷写全程禁止触碰电源键、拔U盘、按任意按键——此时主板正在重写SPI Flash芯片，中断即变砖。
