Чтобы не хранить список запрещённых файлов, ввели механизм минимальной версии (SBAT). Современные shim проверяют версии компонентов и отказываются запускать слишком старые. Проблема в том, что многие shim созданы до появления этих механизмов и содержат уязвимости, но Microsoft годами не отзывала их, и UEFI продолжали считать их доверенными.