16 лет никто не замечал дыру в UEFI. Теперь одного сетевого пакета достаточно, чтобы атаковать сервер до запуска ОС

Se ha descubierto una vulnerabilidad crítica en los firmwares UEFI que permite interceptar el control de un equipo antes de que se activen los mecanismos de seguridad habituales. El fallo, identificado como CVE-2026-97631 con una puntuación de 9,5 sobre 10, afecta a TianoCore EDK II, un conjunto de componentes de código abierto que utilizan grandes fabricantes como AMI, Insyde, Phoenix y la plataforma Project Mu de Microsoft.

El error se encontraba en el controlador UefiPxeBcDxe, encargado de la carga de red (PXE), que permite a un servidor recibir archivos de arranque a través de la red en lugar de un disco local. El problema ocurre porque el controlador no limita correctamente el tamaño de los mensajes de error ICMP (mensajes que informan sobre problemas de red). Al enviar un mensaje más grande de los 504 bytes asignados, se produce un desbordamiento de memoria que permite dañar las estructuras internas del firmware.

Un atacante podría causar desde el simple apagado del servidor hasta la ejecución de código con los máximos privilegios del procesador, incluso antes de que el Secure Boot (arranque seguro) realice sus comprobaciones. Aunque el ataque requiere que el servidor esté realizando una carga por red (PXE) en el momento exacto, un mensaje ICMP enviado de forma remota podría ser suficiente para comprometer el equipo sin necesidad de contraseñas.

La vulnerabilidad fue descubierta por investigadores de Anthropic y Google. Debido a que un empleado de AMI publicó una corrección de forma prematura, se tuvo que emitir una advertencia el 22 de octubre, antes de lo previsto. Actualmente, aunque los cambios en el código ya existen, todavía no hay un lanzamiento oficial de la versión corregida de EDK II.

Qué significa para una pyme colombiana y cucuteña: Si usted tiene servidores en su empresa que arrancan o se actualizan a través de la red (usando PXE), tiene un riesgo alto. Como todavía no hay un parche oficial definitivo, la acción inmediata es entrar a la configuración de la BIOS/UEFI de sus servidores y desactivar la opción de 'Network Boot' o 'PXE Boot' si no la usa para el día a día. Esto cerrará la puerta al ataque mientras espera la actualización de su fabricante.