Исследователи из Anthropic и Google обнаружили в открытом фреймворке TianoCore EDK II критическую уязвимость CVE-2026-97631 с рейтингом 9,5 из 10. Ошибка кроется в компоненте обработки ICMP-сообщений драйвера PXE и позволяет злоумышленнику с доступом к локальной сети выполнить произвольный код на уровне прошивки UEFI — до загрузки операционной системы и до срабатывания защитных механизмов вроде Secure Boot.
EDK II является эталонной реализацией UEFI, которую используют практически все производители серверного оборудования, включая AMI, Insyde и Phoenix, а также облачные провайдеры. Ошибка переполнения буфера на 504 байта позволяет записать данные за пределы структуры контекста драйвера при получении слишком длинного ICMP-сообщения во время сетевой загрузки. Эксплуатация требует точного знания адресного пространства целевой прошивки, но в руках подготовленного атакующего даёт возможность скомпрометировать цепочку доверия и получить доступ к TPM, потенциально раскрывая ключи шифрования дисков.
Источник изображения: сгенерировано Muse
Первооткрыватели планировали скоординированное раскрытие в январе 2027 года, однако производитель материнских плат AMI преждевременно опубликовал пул-реквест с детальным описанием уязвимости и исправлением. После этого TianoCore Project выпустил официальный advisory, а сообществу пришлось действовать в условиях, когда патч уже доступен, но развёртывание обновлений прошивок на миллионах устройств растянется на месяцы.
Уязвимость затрагивает только системы, использующие сетевую загрузку PXE, — домашние пользователи, загружающиеся с дисков, не подвержены риску. Тем не менее, по оценкам экспертов, CVE-2026-97631 может стать «вечной» уязвимостью, живущей в устаревшем оборудовании ещё много лет. Временным решением является отключение PXE-загрузки и мониторинг журналов на предмет попыток эксплуатации.
