L'article l'explique :

The certificate that expired is used to secure inter-process communications.

Je ne sais pas ce que leur API interne expose, mais les périphériques d'entrée comme les souris et les claviers sont moins anodins qu'ils n'en ont l'air.

Exemple tout bête : assigner une macro à une touche. Pour avoir un truc qui marche dans toutes les applications, et en même temps limiter la quantité de code qui tourne avec des privilèges élevés, c'est tentant d'avoir une API (implémentée dans le driver ou le firmware) qui permet juste de capturer les frappes de touche et d'injecter des frappes simulées, et d'implémenter tout le reste dans une appli qui n'a que des droits utilisateur ordinaires.

Sauf que si tu fais ça et que la communication n'est pas authentifiée, alors n'importe quel malware peut aussi utiliser l'API pour espionner les mots de passe que tu tapes, ou exécuter des commandes à ta place pendant que tu es parti en pause café. Et comme il n'a même pas besoin d'élévation de privilège pour ça, ça a encore plus de chances de passer inaperçu.