In EDK II, einem Open-Source-Projekt von Tianocore, steckt seit 16 Jahren eine kritische Sicherheitslücke. Viele Hersteller nutzen EDK II als Basis für ihre UEFI-Firmware. Angreifer können über die Lücke aus der Ferne Schadcode einschleusen, der noch vor dem Start des Betriebssystems läuft. Die Zahl der betroffenen Server soll enorm sein, und die Details kamen versehentlich zu früh ans Licht.
Speicherkorruption beim PXE-Boot
Die Lücke ist als CVE-2026-97631 registriert und mit einem CVSS-Wert von 9,5 als kritisch eingestuft. Laut Beschreibung genügt es, während des PXE-Bootprozesses eine ICMP-Fehlermeldung an ein anfälliges System zu schicken, und zwar ohne Authentifizierung. Das löst eine Speicherkorruption aus. Schadcode kann so schon vor dem Betriebssystem und vor Secure Boot zur Ausführung kommen.
Die Ursache sind Schreibvorgänge, die über einen vorgesehenen Puffer von 504 Bytes hinausgehen. Angreifer brauchen lediglich Zugriff auf das lokale Netzwerk und die IP-Adresse des Zielservers. Der Angriff funktioniert über IPv4 und IPv6.
Embargo gebrochen
Entdeckt wurde die Lücke laut Ars Technica von zwei Forschern von Anthropic und Google. Details sollten eigentlich bis Januar 2027 unter Verschluss bleiben. Ein betroffener Hersteller hat aber offenbar versehentlich einen Pull-Request mit der Codekorrektur und weiteren Informationen auf GitHub veröffentlicht und damit das Embargo gebrochen. Weil Angreifer mit solchen Daten und KI-Hilfe schnell einen Exploit bauen können, hat auch Tianocore die Lücke früher offengelegt.
Als betroffene UEFI-Hersteller nennt der Bericht unter anderem AMI, Insyde und Phoenix. Auch Project Mu, ein von Microsoft gepflegter EDK-II-Fork, soll den anfälligen Code enthalten. Von "den meisten Servern auf diesem Planeten" ist die Rede. Obwohl die Korrektur öffentlich einsehbar ist, bleibt die Patch-Lage wegen des gebrochenen Embargos vorerst unklar.
Patches kommen nur über die Hardwarehersteller
Damit Admins patchen können, müssen zuerst die Hardwarehersteller Firmwareupdates liefern. Da die Lücke 16 Jahre alt ist, dürften auch viele ältere Server betroffen sein, die längst aus dem Support gefallen sind und deshalb wohl nie ein Update bekommen. Frag bei Deinen Geräteherstellern nach, ob Deine Systeme betroffen sind und wann es Patches gibt.
Kein Selbstläufer für Angreifer
Ganz einfach ist die Ausnutzung nicht. Ein Forscher von Eclypsium weist darauf hin, dass Angreifer bestimmte Adressen im Zielsystem erraten müssen. Ein funktionierender Exploit lässt sich nicht einfach auf andere Ziele übertragen: Er muss für jedes Modell, jede Version und jede Konfiguration angepasst werden, weil die Adressen davon abhängen.
Außerdem betrifft die Lücke nur den PXE-Boot. Angreifbar sind also nur Systeme, die beim Start Netzwerkressourcen nutzen, und das passiert meist in Unternehmensnetzen. Normale Rechner, die von Festplatte oder SSD booten, sind über CVE-2026-97631 nicht angreifbar.