Un driver vulnerabile firmato è un driver del kernel legittimo che porta una firma digitale attendibile ma presenta note vulnerabilità di sicurezza. Gli aggressori sfruttano questa fiducia per caricare codice nel kernel di Windows, dove possono aggirare le protezioni in modalità utente, disabilitare gli strumenti endpoint, terminare i processi di sicurezza o manipolare la memoria con più autorità del malware ordinario. Questo abuso viene spesso chiamato BYOVD, ovvero "bring your own vulnerable driver".
È importante perché molte difese presuppongono che i driver firmati siano sicuri da caricare. Negli attacchi reali, gli avversari usano driver vulnerabili per indebolire l'EDR, nascondere attività dannose o rendere più difficile la rimozione della persistenza. I difensori riducono questo rischio mantenendo blocklist dei driver, monitorando i caricamenti dei driver, applicando funzionalità di protezione contro i driver vulnerabili e rimuovendo dai dispositivi driver del kernel obsoleti o non necessari.