В прошивке UEFI (TianoCore EDK II) раскрыта критическая уязвимость CVE-2026-97631

В TianoCore EDK II, открытой кодовой базе, на которой производители оборудования и облачные провайдеры создают UEFI-прошивку, работающую при загрузке, обнаружена уязвимость CVE-2026-97631 с оценкой серьёзности 9,5 из 10. Ars Technica пишет, что она затрагивает загрузочную прошивку, которую используют большинство производителей серверов и дата-центров мира.

Это ошибка повреждения памяти в компоненте ICMP. Злоумышленники могут использовать её, чтобы выполнить вредоносный код до того, как операционная система и прошивка включат защиту, например Secure Boot (механизм, который выстраивает цепочку доверия для всего загружаемого кода, включая модуль TPM). Конечная полезная нагрузка, доставленная через эту уязвимость, не закрепляется в системе и срабатывает только один раз, но может дать атакующим широкую лазейку, чтобы установить другие нагрузки, которые будут запускаться при каждой ранней загрузке.

Масштаб задаёт распространённость EDK II. Представитель UEFI Forum в прошлом году назвал EDK2 «ведущим решением / реализацией спецификаций UEFI». Практически все поставщики UEFI (их иногда по-прежнему называют IBV, то есть независимыми производителями BIOS), включая AMI, Insyde и Phoenix, широко используют этот эталонный код. Код с уязвимым компонентом применял и Project Mu, усиленный форк EDK2 от Microsoft.

История раскрытия оказалась неудачной. Уязвимость нашли Алекс Матросов из Anthropic и Дэн Холмс из Google, и они договорились держать её в тайне до скоординированного раскрытия, назначенного на январь. Но AMI, производитель материнских плат и другого оборудования, в прошлом месяце опубликовала pull request (предложение изменений в коде) с подробным описанием уязвимости и исправлением. Когда запись попала в поле зрения нашедших, участники проекта TianoCore на прошлой неделе выпустили публичное предупреждение.

По оценке издания, при публично доступном коде исправления опытным злоумышленникам будет несложно понять, как срабатывает уязвимость, и создать рабочие эксплойты. Срочность усугубляет и то, что исправление уязвимостей в коде UEFI на миллионах конечных устройств, которые выпускают и используют тысячи производителей и облачных провайдеров, громоздкий и долгий процесс. Новость появилась через шесть дней после другого неудачного раскрытия, критической уязвимости выполнения кода в языке программирования PHP.

Ключевые факты

CVE-2026-97631, ошибка повреждения памяти в компоненте ICMP в TianoCore EDK II, оценка серьёзности 9,5 из 10.
Через неё можно выполнить код до загрузки ОС и до включения защит вроде Secure Boot; нагрузка срабатывает один раз, но может открыть путь к установке других, которые запускаются при каждой ранней загрузке.
EDK2 широко используют AMI, Insyde и Phoenix, а также Project Mu от Microsoft.
Раскрытие, запланированное на январь, сорвалось: AMI в прошлом месяце опубликовала pull request с описанием уязвимости и исправлением, а участники TianoCore на прошлой неделе выпустили публичное предупреждение.
Нашли уязвимость Алекс Матросов из Anthropic и Дэн Холмс из Google; обновлять прошивки на миллионах устройств долго и трудоёмко.

Почему это важно

Прошивка UEFI запускается раньше операционной системы, а EDK II, её основа почти у всех поставщиков. Поэтому ошибка в общем эталонном коде потенциально затрагивает огромный парк серверов. Уязвимость даёт выполнение кода до того, как включатся такие защиты, как Secure Boot. Кроме того, из-за преждевременного раскрытия код исправления стал публичным, и, по оценке Ars Technica, опытным злоумышленникам будет несложно построить рабочие эксплойты.

Кому это важно

Прежде всего производителям серверов и материнских плат, поставщикам UEFI (AMI, Insyde, Phoenix), облачным провайдерам и операторам дата-центров. Также тем, кто использует Project Mu, форк EDK2 от Microsoft, где применялся тот же код с уязвимым компонентом.

Как это применить

TianoCore выпустил публичное предупреждение, а исправление кода описано в pull request от AMI. В источнике нет сведений о том, как обстоят дела с исправлениями у отдельных производителей, поэтому администраторам стоит свериться с уведомлениями своих поставщиков оборудования и прошивок. Издание подчёркивает, что обновление UEFI на миллионах устройств, медленный процесс.

Можно ли доверять

Материал Ars Technica пересказывает ход событий: кто нашёл уязвимость, что опубликовала AMI, когда выпущено предупреждение. Оценка, что эксплойты построить будет несложно, вывод издания, а не подтверждённый факт. О фактах эксплуатации в реальных атаках в тексте не сообщается. Подробности технической стороны (какой именно компонент ICMP затронут и можно ли эксплуатировать уязвимость по сети) в тексте не раскрыты.

Риски и подводные камни

Главный риск, разрыв между публикацией кода исправления и реальным обновлением прошивок: на миллионах устройств, которые выпускают и используют тысячи производителей и провайдеров, это громоздко и долго. Нагрузка через CVE-2026-97631 не закрепляется сама, но может открыть путь к установке других нагрузок, запускаемых при каждой ранней загрузке, то есть к закреплению на ранней стадии загрузки. Плюс это уже второе неудачное раскрытие за шесть дней: до этого так же сорвалось раскрытие критической уязвимости выполнения кода в PHP.

«Ведущее решение / реализация спецификаций UEFI.»

— представитель UEFI Forum, в прошлом году, об EDK2