UEFI açığı CVE-2026-97631 sunucuların çoğunu tehdit ediyor

EDK II, donanım üreticilerinin ve bulut sağlayıcılarının UEFI yazılımını geliştirmek için kullandığı açık kaynaklı bir kod tabanı. UEFI, bilgisayar açılırken işletim sisteminden önce çalışan ve donanımı başlatan yazılım katmanı. AMI, Insyde ve Phoenix gibi UEFI tedarikçileri bu referans kodu yoğun biçimde kullanıyor. Microsoft’un EDK2 çatalı Project Mu da açık bileşeni içeriyordu.

Açığı Anthropic’ten Alex Matrosov ve Google’dan Dan Holmes buldu. İkili, açığın ocak ayında planlanan koordineli bir duyuruya kadar gizli kalmasını sağlamıştı. Ancak AMI geçen ay açığı ayrıntılandıran ve düzeltme kodu içeren bir değişiklik talebi yayımladı. TianoCore Project üyeleri de geçen hafta kamuya açık bir uyarı yayımladı.

504 baytlık alana sığmayan mesaj

CVE-2026-97631, PXE-Base Code sürücüsünde 16 yıldır bulunan bir arabellek taşması açığı. PXE, sunucuların ve depolama cihazlarının yerel ağdan indirilen kodla açılmasını sağlayan ağ üzerinden önyükleme yöntemi. Sürücü bu süreçte ICMP hata mesajlarını dinliyor ve her mesajı 504 baytlık sabit bir alana kopyalıyor.

Kopyalama döngüsü hem IPv4 hem IPv6 tarafında sınırı doğru uygulamıyor. Bu yüzden uzun bir mesaj, saldırganın belirlediği baytları alanın dışına yazıyor. Mesaj, PXE açılışı sırasında hedef cihazın IP adresine gönderilen basit bir tekil iletiyle ulaştırılabiliyor. Saldırgan açılışı kilitleyerek hizmet dışı bırakma saldırısı yapabiliyor. Hedef yazılım sürümünü biliyorsa işlemcinin en yetkili seviyesi olan ring 0’da kod çalıştırabiliyor.

Kötü amaçlı kod, Secure Boot gibi savunmalar devreye girmeden çalışıyor.

Disk şifrelemesine uzanan risk

Kötü amaçlı kod, Secure Boot gibi savunmalar devreye girmeden çalışıyor. Bu yükler kalıcı değil ve yalnız bir kez çalışıyor, ancak saldırgana her açılışta çalışacak başka yükler kurma imkânı tanıyor. Metasploit’in yaratıcısı ve Dragos’un baş araştırma sorumlusu HD Moore, saldırganın TPM gibi hassas bileşenlere erişimi olan bir aşamada program akışını ele geçirebileceğini ve bunun disk şifrelemesini kırmak için kullanılabileceğini söyledi.

Moore, açığın yaygınlığı nedeniyle desteği bitmiş sistemlerde yaşamaya devam edecek kalıcı bir hata olma ihtimalinin yüksek olduğunu belirtti. Düzeltme kodunun kamuya açık olması, deneyimli saldırganların açığı nasıl tetikleyeceğini öğrenmesini kolaylaştırıyor. Binlerce üreticinin milyonlarca cihazındaki UEFI kodunu güncellemek ise zahmetli ve uzun bir süreç.

Ev kullanıcıları etkilenmiyor

Açığı kullanmak için yerel ağ üzerinde belirli bir kontrol gerekiyor ve açığın ağa ilk giriş noktası sağladığına dair henüz kanıt yok. Eclypsium araştırmacısı Jesse Michael, saldırganın hedef sistemdeki belirli adresleri tahmin etmesi gerektiğini, bu yüzden istismarın her model, sürüm ve yapılandırma için ayrıca ayarlanması gerektiğini söyledi. Michael, açığın BIOS ya da UEFI güncellemesiyle dağıtılacak basit bir kod düzeltmesiyle giderilebileceğini de ekledi.

Yalnız diskten açılan ev ve küçük ofis cihazları etkilenmiyor. Risk, yerel ağdan ya da muhtemelen internete bağlı kaynaklardan açılan, EDK2 tabanlı ve varsayılan olarak açık gelen PXE işlevini kullanan yazılıma sahip kurumlarda geçerli. Intel, güvenlik desteği süren ticari ürünlerinden hiçbirinin etkilendiğinin bilinmediğini açıkladı. Arm ise açığın ürün portföyüne doğrudan uygulanabilir olmadığını duyurdu.