Odkryto krytyczną lukę w zabezpieczeniach oprogramowania UEFI, zidentyfikowaną jako CVE-2026-97631, która dotyka większość serwerów na świecie. Błąd umożliwia wykonanie złośliwego kodu jeszcze przed uruchomieniem systemu operacyjnego, skutecznie omijając fundamentalny mechanizm bezpieczeństwa, jakim jest Secure Boot.
Zagrożenie ma swoje źródło w popularnym zestawie deweloperskim EDK II, który stanowi podstawę dla oprogramowania układowego wielu producentów. Luka znajduje się bezpośrednio w sterowniku sieciowym PXE (Preboot Execution Environment), a konkretnie w komponencie o nazwie UefiPxeBcDxe, odpowiedzialnym za obsługę rozruchu systemu przez sieć.
Błąd polega na nieprawidłowym zarządzaniu pamięcią podczas przetwarzania komunikatów sieciowych ICMP. Sterownik kopiuje otrzymane dane do stałego bufora o rozmiarze zaledwie 504 bajtów, nie weryfikując wcześniej, czy ich długość nie przekracza dostępnego miejsca. Taki błąd, znany jako przepełnienie bufora, otwiera furtkę do wykonania dowolnego kodu dostarczonego przez atakującego w sieci lokalnej.
Najpoważniejszą konsekwencją luki CVE-2026-97631 jest całkowite złamanie łańcucha zaufania, na którym opiera się Secure Boot. Mechanizm ten ma za zadanie weryfikować cyfrowe podpisy każdego elementu oprogramowania ładowanego podczas startu komputera, od firmware po system operacyjny.
Ponieważ atak jest realizowany na bardzo wczesnym etapie, jeszcze przed załadowaniem bootloadera systemu, zabezpieczenia te stają się bezużyteczne.
Luka umożliwia atakującemu wykonanie kodu na poziomie bootowania, co oznacza, że może przejąć kontrolę nad systemem zanim system operacyjny zostanie załadowany, łamiąc tym samym łańcuch zaufania Secure Boot.
Powagę błędu odzwierciedla jego ocena w systemie CVSS v4, gdzie otrzymał notę 9.5 na 10 punktów, co klasyfikuje go jako zagrożenie krytyczne.
Kod EDK II, w którym zidentyfikowano błąd, jest fundamentem dla oprogramowania układowego UEFI dostarczanego przez kluczowych graczy na rynku, co sprawia, że problem ma charakter globalny. Zagrożenie dotyczy produktów opartych o kod od:
Chociaż poprawka została już 28 października 2026 roku zintegrowana z publicznym repozytorium kodu EDK II, droga do zabezpieczenia urządzeń końcowych jest jeszcze długa. Każdy producent sprzętu (serwerów, komputerów stacjonarnych i laptopów) musi teraz zaimplementować łatkę w swoich specyficznych wersjach firmware i udostępnić je użytkownikom w formie aktualizacji. Proces ten może potrwać wiele miesięcy, pozostawiając w tym czasie systemy podatne na atak.
Pasquale Pillitteri, „Luka w UEFI CVE-2026-97631, kod przez PXE uruchamia się przed Secure Boot”, news.google.com, 2026. https://news.google.com/rss/articles/CBMijAFBVV95cUxPd2ZBbkxvMHVRdXVzU1BRS0YxNkJnUjBJczY1TFhHVmx5b3BVbl9BUjB1Y2wwLVJUaERiQmdBVzdyakhfZDdVM3RWaVZ3WXI4VFc0ZzRqMUlocHJrOHhPOC1YVlBuU2dUemVRRDlkUVBLbWNTYS1fWkZSM3ZFcUdIRGFwQmhUNG9iU1FNSg?oc=5
Ars Technica, „Code-execution flaw in UEFI firmware threatens most servers on planet Earth”, arstechnica.com, 2026. https://arstechnica.com/security/2026/10/code-execution-flaw-in-uefi-firmware-threatens-most-servers-on-planet-earth/
Security Affairs, „CVE-2026-97631, 16-year-old UEFI flaw threatens servers”, securityaffairs.com, 2026. https://securityaffairs.com/201928/security/cve-2026-97631-16-year-old-uefi-flaw-threatens-servers.html
Cybersecurity News, „UEFI Firmware Vulnerability Allows Bypassing Secure Boot to Execute Malicious Code”, cybersecuritynews.com, 2026. https://cybersecuritynews.com/uefi-firmware-vulnerability/
Brandefense.io, „CVE-2026-97631”, brandefense.io, 2026. https://brandefense.io/knowledge-hub/vulnerabilities/cve-2026-97631/
