Розробники TianoCore оприлюднили відомості про CVE-2026-97631 у EDK II – наборі компонентів для прошивок UEFI. Помилка міститься у NetworkPkg, зокрема в драйвері PXE, який дає пристрою змогу отримати дані для запуску через мережу ще до старту операційної системи. Уразливість отримала оцінку 9,5 за шкалою CVSS v4.
Проблема пов’язана з неправильним визначенням розміру буфера пам’яті. Якщо під час PXE-завантаження пристрій обробить спеціально сформовані мережеві дані, частина даних може записатися за межами відведеної ділянки пам’яті. За даними advisory TianoCore, це може призвести до виконання довільного коду або до відмови в роботі системи.
Ризик прив’язаний до PXE-завантаження
PXE – це спосіб запустити комп’ютер або сервер із даних, отриманих мережею, а не з локального диска. Його часто застосовують для централізованого встановлення систем і обслуговування серверів. Саме цей сценарій описано в advisory, тому CVE-2026-97631 не слід автоматично переносити на кожен пристрій із UEFI або кожну прошивку, створену на основі EDK II.
Найбільш предметно проблема стосується інфраструктури, де машини справді завантажуються через PXE та мають прошивку з уразливим компонентом NetworkPkg. Для таких середовищ важливо зіставити версію використаної реалізації EDK II з конфігурацією мережевого завантаження, а не оцінювати ризик лише за наявністю UEFI.
У TianoCore зазначають, що зачеплені випуски EDK II до edk2-stable202608 включно. Оскільки атака можлива до запуску операційної системи, її наслідки не обмежуються звичайними програмами, які вже працюють у системі.