Исследователи из Anthropic и Google обнаружили в открытом фреймворке TianoCore EDK II критическую уязвимость CVE-2026-97631 с рейтингом 9,5 из 10. Ошибка находится в компоненте обработки ICMP-сообщений драйвера PXE и позволяет злоумышленнику с доступом к локальной сети выполнить произвольный код на уровне прошивки UEFI — до загрузки операционной системы и до срабатывания защитных механизмов вроде Secure Boot.
EDK II — эталонная реализация UEFI, которую используют практически все производители серверного оборудования, включая AMI, Insyde и Phoenix, а также облачные провайдеры. Переполнение буфера на 504 байта позволяет записать данные за пределы структуры контекста драйвера при получении слишком длинного ICMP-сообщения во время сетевой загрузки. Эксплуатация требует точного знания адресного пространства целевой прошивки, но позволяет скомпрометировать цепочку доверия и получить доступ к TPM, потенциально раскрывая ключи шифрования дисков.
Первооткрыватели планировали скоординированное раскрытие в январе 2027 года, однако производитель материнских плат AMI преждевременно опубликовал пул-реквест с детальным описанием уязвимости и исправлением. После этого TianoCore Project выпустил официальный advisory, и сообществу пришлось действовать в условиях, когда патч уже доступен, но развёртывание обновлений прошивок на миллионах устройств растянется на месяцы.
Уязвимость затрагивает только системы, использующие сетевую загрузку PXE, — домашние пользователи, загружающиеся с дисков, не подвержены риску. По оценкам экспертов, CVE-2026-97631 может стать «вечной» уязвимостью, живущей в устаревшем оборудовании ещё много лет.
Временным решением является отключение PXE-загрузки и мониторинг журналов на предмет попыток эксплуатации.