Uma vulnerabilidade crítica no firmware UEFI usado por fabricantes de servidores e provedores de nuvem permite a execução de código durante a inicialização de máquinas configuradas para boot pela rede. Identificada como CVE-2026-97631, a falha recebeu nota 9,5 de 10 e está no TianoCore EDK II, código aberto utilizado como base por diversos fornecedores.
O problema afeta o componente de rede responsável pelo PXE, tecnologia que permite iniciar servidores, equipamentos de armazenamento e outros dispositivos a partir de arquivos baixados de uma rede local. A exploração ocorre antes da entrada em funcionamento do sistema operacional e de mecanismos como o Secure Boot, que ajudam a verificar a cadeia de confiança dos programas carregados.
Como a vulnerabilidade pode ser explorada
A falha é um estouro de buffer com 16 anos de existência no driver PXE-Base Code, identificado no arquivo NetworkPkg/UefiPxeBcDxe. Durante o boot pela rede, o componente monitora mensagens de erro do protocolo ICMP e as copia para um campo de memória com limite de 504 bytes.
O código não controla adequadamente o tamanho dessas mensagens. Com isso, um invasor que tenha controle de baixo nível sobre a rede pode enviar um pacote especialmente criado e sobrescrever áreas adjacentes da memória. Dependendo da versão e da configuração do firmware, o ataque pode travar a inicialização ou permitir a execução de código no nível mais privilegiado do processador.
Segundo a análise publicada pela WIRED, a falha pode ser usada para executar cargas maliciosas antes que o sistema operacional, o TPM e outras defesas sejam carregados. O código executado diretamente pela vulnerabilidade não permanece após a execução, mas pode abrir caminho para a instalação de componentes que atuem em etapas posteriores do processo de inicialização.
Impacto e limitações
A vulnerabilidade não atinge, segundo as informações disponíveis, usuários domésticos e pequenos escritórios que iniciam seus computadores exclusivamente a partir de unidades de armazenamento. O alvo potencial são organizações com máquinas configuradas para boot pela rede e cujo firmware utilize o EDK II e a funcionalidade PXE, ativada por padrão em algumas plataformas.
A exploração também exige condições específicas. O invasor precisa enviar o pacote durante a sequência de inicialização e conhecer detalhes do modelo, da versão e da configuração do firmware. Não há evidência, até o momento, de que a CVE-2026-97631 seja uma porta de entrada inicial para redes. O acesso prévio ou de baixo nível à rede tende a limitar o cenário a invasores internos ou grupos que já tenham obtido esse tipo de acesso.
O código vulnerável foi usado extensivamente por fornecedores de firmware, entre eles AMI, Insyde e Phoenix, além de aparecer no projeto Mu, uma versão reforçada do EDK II mantida pela Microsoft. A abrangência exata ainda não foi esclarecida. Intel afirmou que nenhum de seus produtos comerciais sob suporte de segurança era conhecido como afetado e disse que a função vulnerável não faz parte de seu código de referência, embora possa ser integrada por fabricantes de placas ou sistemas. A Arm declarou que a falha não se aplica diretamente ao seu portfólio.
Correção depende de atualização do firmware
A descoberta foi atribuída a Alex Matrosov, da Anthropic, e Dan Holmes, do Google. A divulgação coordenada estava prevista para janeiro, mas um pedido de alteração publicado pela AMI expôs detalhes do problema e o código de correção antes do prazo. Depois disso, integrantes do projeto TianoCore publicaram um aviso sobre a vulnerabilidade.
A correção exige uma atualização de BIOS ou UEFI distribuída pelo fabricante do sistema. Como a falha é corrigida no código, não há, de acordo com o material, necessidade de alterar chaves de revogação do Secure Boot ou mídias de provisionamento do sistema operacional.
Enquanto os fornecedores não esclarecem quais produtos são afetados, a recomendação é consultar o fabricante do firmware usado nos servidores, considerar a desativação temporária do boot pela rede quando possível e monitorar registros em busca de tentativas de exploração. TPM e Secure Boot devem permanecer habilitados, embora essas medidas não impeçam especificamente esse ataque durante a fase inicial da inicialização.
