UEFI уязвимость в EDK II CVE-2026-97631 позволяет удаленное выполнение кода до загрузки ОС

Уязвимость CVE-2026-97631 обнаружена в TianoCore EDK II и опубликована 22 октября 2026 года. Она затрагивает драйвер NetworkPkg/UefiPxeBcDxe и позволяет удаленное выполнение кода до загрузки операционной системы при использовании PXE-загрузки по IPv4 или IPv6.

Технические детали уязвимости EDK II

Корневая причина — отсутствие проверки длины при обработке ICMP-сообщений об ошибках в функциях PxeBcIcmpErrorDpcHandle и PxeBcIcmp6ErrorDpcHandle. Драйвер копирует полученные данные в фиксированное поле Mode.IcmpError размером 504 байта, что приводит к переполнению буфера (CWE-120, CWE-131, CWE-787). Оценка CVSS v4.0 составляет 9.5 с вектором AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H.

Атака возможна при отправке специально сформированного ICMP-сообщения на IP-адрес клиента во время PXE-загрузки. Результатом может стать как отказ в обслуживании, так и произвольное выполнение кода с правами кольца 0 до проверки Secure Boot или measured boot. Уязвимость присутствует в EDK II вплоть до версии edk2-stable202608 и затрагивает прошивки от AMI, Insyde, Phoenix, а также форки OVMF и Microsoft Project Mu.

Системы, загружающиеся только с локального диска, не подвержены риску. Intel сообщила об отсутствии влияния на свои коммерчески поддерживаемые продукты, Arm указала, что проблема напрямую не применима к их платформам.

Статус исправлений и охват серверов

Исправление объединено в master-ветку EDK II 15 октября 2026 года (PR #13302). Стабильного релиза EDK II с патчем на конец октября 2026 года не выпущено. Дистрибутивы Linux — Red Hat, Debian, SUSE, Ubuntu — отмечают пакеты как уязвимые без доступных обновлений. Производители серверов Dell, HPE, Supermicro, Lenovo и поставщики прошивок AMI, Insyde не опубликовали официальных бюллетеней по состоянию на 29 октября 2026 года.

Уязвимость затрагивает серверы и дата-центры, использующие PXE-загрузку. По данным публикаций, проблема потенциально касается значительной части серверного оборудования по всему миру, включая российские организации, применяющие соответствующую технику. Публичных эксплойтов и подтвержденных случаев эксплуатации в реальных условиях не зарегистрировано. Уязвимость не включена в каталог CISA KEV.

Хронология и дальнейшие действия рынка

Уязвимость обнаружили исследователи Alex Matrosov из Anthropic и Dan Holmes-Mitra из Google. CVE зарезервирован в сентябре 2026 года, а публичный PR с деталями появился ранее официальной публикации. TianoCore опубликовал advisory и CVE 22 октября 2026 года.

В ближайшие недели ожидается интеграция исправления в прошивки основных вендоров. Организации, использующие PXE-загрузку, должны отслеживать обновления BIOS/UEFI на порталах производителей. Никаких дополнительных публичных деталей или скоординированных раскрытий не планируется в ближайшее время.