Критическую уязвимость CVE-2026-97631 в TianoCore EDK II оценили в 9,5 балла по шкале CVSS. Она позволяет выполнить код еще до запуска операционной системы — на самом раннем этапе загрузки, когда защитные механизмы вроде Secure Boot еще не успевают включиться в работу.

Проблему раскрыли раньше срока после случайной публикации патча. Изначально разработчики планировали рассказать о ней только в январе 2027 года, но утечка описания ускорила публичное раскрытие на несколько месяцев.

Что это за уязвимость

EDK2 — это базовый опенсорсный код для UEFI-прошивок, на котором держатся прошивки множества серверов, систем хранения и другой техники. Его используют производители оборудования и поставщики прошивок, включая AMI, Insyde и Phoenix. Уязвимый компонент также входил в Project Mu — форк EDK2, который развивали в Microsoft.

По сути, это ошибка в сетевом стеке прошивки. Она открывает путь к переполнению буфера, то есть к записи данных за пределы выделенной памяти.

Как это работает технически

Уязвимость затрагивает драйвер PXE Base Code, который отвечает за сетевую загрузку устройств. Во время PXE-загрузки драйвер принимает ICMP-сообщения об ошибках и копирует их в поле Mode.IcmpError размером 504 байта.

Проблема в том, что обработчики IPv4 и IPv6 не умеют нормально отсекать слишком длинные данные. Если сообщение превышает 504 байта, копирование все равно продолжается, а ошибки смещения внутри буфера только усугубляют ситуацию. В результате атакующий может повредить соседние области памяти UEFI и добиться сбоя или выполнения собственного кода.

Атаке нужен не только подходящий пакет, но и окно PXE-загрузки. Вредоносный ICMP-пакет можно отправить обычным unicast-трафиком на IP-адрес цели, если устройство в этот момент загружается по сети.

Почему это опасно

В худшем случае уязвимость дает атакующему запуск кода в UEFI-среде с привилегиями ring 0. Это очень ранняя стадия загрузки, когда система еще работает с чувствительными компонентами вроде TPM, а цепочка доверия только формируется.

Такой сценарий опасен не столько массовостью, сколько глубиной проникновения. Если злоумышленник подберет нужную конфигурацию, он сможет закрепить дополнительные компоненты, которые будут запускаться при каждом старте машины. Именно поэтому такие ошибки часто остаются в списке самых неприятных проблем прошивки — рядом с разбором атак на цепочку загрузки Linux и другими багами на стыке железа и низкоуровневого ПО.

Кого это касается

Обычных пользователей, которые загружают компьютер только с локального диска, проблема, скорее всего, не затронет. Основной риск — у серверов, систем хранения и корпоративной инфраструктуры, где сетевую загрузку включают по умолчанию или используют регулярно.

Проще всего заподозрить риск там, где администраторы применяют PXE для массовой установки, аварийного восстановления или запуска без диска. Если в инфраструктуре есть такие сценарии, значит, уязвимость стоит воспринимать всерьез.

По сообщениям Intel, их коммерческие продукты с актуальными обновлениями безопасности не затронуты CVE-2026-97631, но конкретный статус зависит от платформы и производителя. Arm тоже заявила, что уязвимость напрямую не относится к ее продуктам, хотя код EDK2 широко используется и в ее прошивках.

Как защититься

Первый шаг — поставить обновление BIOS/UEFI, когда производитель его выпустит. Для такой уязвимости это главный и по сути единственный полноценный способ закрыть дыру.

Пока патча нет, администраторам советуют отключить сетевую загрузку, если она не нужна, и следить за логами на предмет странной активности во время старта системы. Secure Boot и TPM лучше не отключать: они не закрывают CVE-2026-97631 напрямую, но помогают держать под контролем общую цепочку загрузки.

Если серверы стоят в открытых или плохо контролируемых сетях, стоит отдельно проверить, кто и как может отправлять трафик на устройства в момент старта. В таких сценариях полезно использовать и базовые меры цифровой гигиены, например инструмент для приватного подключения в дороге, когда администраторы работают из аэропорта, гостиницы или кафе.

Практический чек-лист

  • Проверьте, включена ли у вас сетевая загрузка PXE.
  • Уточните у производителя, вышло ли исправление для вашей модели.
  • Обновите BIOS/UEFI, как только появится патч.
  • Отключите PXE, если он не нужен для работы.
  • Проверьте журналы на странные попытки загрузки по сети.
  • Не выключайте Secure Boot и TPM без крайней необходимости.
  • Для удаленной работы в открытых сетях используйте инструмент для приватного подключения в дороге.

По масштабу проблема напоминает другие долго живущие баги прошивок: они редко бьют по всем сразу, зато надолго остаются в старых системах. Именно поэтому такие истории важны не только для серверных администраторов, но и для всех, кто отвечает за инфраструктуру с низкоуровневой загрузкой.

Поделиться: