Уязвимость UEFI с оценкой 9,5: что проверить на серверах с сетевой загрузкой

В TianoCore EDK II опубликован бюллетень CVE-2026-97631: ошибка в драйвере сетевой загрузки PXE может привести к повреждению памяти и выполнению кода до старта ОС. Проект присвоил ей 9,5 балла по CVSS 4.0. Особенно внимательно стоит проверить серверы, которые загружаются или восстанавливаются по сети.

Важное условие — загрузка через PXE

По описанию TianoCore, атака возможна, пока машина выполняет PXE-загрузку по IPv4 или IPv6 и получает специально подготовленные сообщения ICMP. Для более сложного варианта выполнения кода требуется знание конкретной сборки прошивки. Наличие UEFI на компьютере само по себе не доказывает, что он уязвим в своей текущей конфигурации.

Проблема относится к раннему этапу запуска: ОС и её защитные средства ещё не работают. Поэтому установленный антивирус или свежий патч Windows не заменяют исправление затронутой прошивки. Это также не повод отключать Secure Boot — такая настройка не устраняет ошибку сетевого драйвера.

Исправление в коде и обновление BIOS — разные этапы

В бюллетене есть ссылка на исправление #13302, но поле готовых исправленных версий пока содержит Not patched currently. Пользователь сервера обычно получает прошивку от производителя оборудования, а не устанавливает исходный код EDK II напрямую. Статус конкретной модели нужно подтверждать у её поставщика.

Практический порядок проверки

Составьте список машин с PXE, запишите модели и версии BIOS/UEFI и запросите у производителя статус CVE-2026-97631. Там, где сетевая загрузка не используется, её можно исключить из штатного процесса после проверки зависимостей. Для нужных сценариев важны контролируемая сеть развёртывания и план обновления прошивок.

Не меняйте массово параметры загрузки на рабочих серверах без проверки: это может нарушить восстановление и автоматическую установку. Бюллетень не даёт основания объявлять скомпрометированными все серверы или все облака. Исследователи: Alex Matrosov и Dan Holmes-Mitra; источник — TianoCore.