Güvenlik ekipleri bu hafta bir plansız açıklama daha aldı; bu seferki işletim sisteminin içinde değil, altında.
CVE-2026-97631, TianoCore EDK II kod tabanında bir tampon taşması. AMI, Insyde, Phoenix ve Microsoft'un sertleştirilmiş çatalı Project Mu, UEFI yazılımını bu açık kaynak referans uygulamasından üretiyor. Açıklı bileşen PXE Base Code sürücüsü (NetworkPkg/UefiPxeBcDxe): makinenin yerel ağdan indirdiği kodla açılmasını sağlıyor. Bu açılış sırasında sürücü ICMP hata mesajları için açık bir alma isteği tutuyor ve her mesajı sabit 504 baytlık alana kopyalıyor. Sınır denetimi hem IPv4 hem IPv6 işleyicilerinde hatalı; 504 baytı aşan bir mesaj, saldırganın kontrol ettiği baytları alanın ötesine yazıyor ve CPU üzerinde çalışan modülü bozuyor.
Sonuç, yazılım ortamında ring 0'da kod çalıştırma — Secure Boot veya TPM bir güven zinciri kurmadan önce. Bu yolla gelen yükler kendi başına kalıcı değil; ama saldırganın kalıcı bir şey yerleştirebileceği tek ana denk geliyorlar.
Ön koşullar önemli. Saldırganın yerel ağ üzerinde bir ölçüde kontrolü olmalı, paketi PXE açılış dizisi sırasında göndermeli ve adresleri hedefin firmware sürümüne göre ayarlamalı. Eclypsium'dan Jesse Michael'ın Ars Technica'ya anlattığı gibi bu, her hedefe atılabilecek bir exploit değil: model, sürüm ve yapılandırma adresleri değiştiriyor. Dragos'ta araştırma direktörü olan HD Moore, hatanın destek süresi bitmiş sistemlerde yaşayacak bir sonsuz hataya dönüşmesini bekliyor.
Açıklama süreci de olayın parçası. Hatayı Anthropic'ten Alex Matrosov ile Google'dan Dan Holmes buldu ve koordineli açıklama Ocak ayına planlanmıştı. AMI geçen ay hatayı ve düzeltmeyi ayrıntılandıran bir pull request yayımladı; TianoCore geçen hafta kamuya açık bir uyarı yayımladı. Yama kodu ortada olduğu için çalışan exploit üretmek artık kavrayış değil emek meselesi.
Üreticilerin yanıtları zayıf. Intel, güvenlik desteği altındaki ticari ürünlerinin etkilendiğine dair bilgi olmadığını ve etkilenen EDK2 işlevini referans kodunda göndermediğini, ancak bir OEM'in bunu eklemiş olabileceğini söyledi. Arm, hatanın doğrudan kendi portföyüne uygulanmadığını belirtti. AMD, Phoenix, AMI, Microsoft ve Amazon haber yayımlandığında Ars'ın sorularını yanıtlamamıştı. Hem Intel hem Arm, EDK2'den yoğun biçimde yararlanan kod yayımlıyor ve TianoCore bu bağı belgeliyor.
Pratik tavsiye gösterişsiz: firmware üreticisinden güncelleme istemek ve gerekmeyen yerlerde ağdan önyüklemeyi en azından geçici olarak kapatmak. Secure Boot ve TPM burada işe yaramıyor, çünkü saldırı onlar yüklenmeden çalışıyor. Jesse Michael'ın işaret ettiği bir teselli var: bu hata sınıfı sıradan bir BIOS güncellemesiyle kapanıyor; Secure Boot atlatmalarının gerektirdiği anahtar iptalleri ve kurulum medyası yenilemeleri gerekmiyor.
Hata kalabalık bir rafa ekleniyor: PixieFail EDK2'de benzer bir PXE açığıydı; LogoFail, PKFail, BootHole ve BlackLotus da aynı erken açılış penceresinden geçiyordu. PixieFail sonrası başlatılan fuzzing kampanyaları bunu bulamadı. Uyarı ayrıca PHP'deki kritik kod çalıştırma açığının kamuya çıkmasından altı gün sonra geldi; bu da firmware ve kütüphane açıklamalarının ambargolarından nasıl kaçmaya devam ettiğine dair ayrı bir tartışma.
