Vulnerabilidade crítica encontrada em firmware UEFI
Uma vulnerabilidade crítica foi identificada no software de código aberto TianoCore EDK II, que serve de base para muitos fabricantes desenvolverem firmware UEFI. A informação foi divulgada pela Ars Technica. O problema recebeu o identificador CVE-2026-97631, com nível de gravidade de 9,5 em 10. A falha permite executar código malicioso antes mesmo da inicialização do sistema operacional.
A causa é um erro de estouro de buffer no componente de inicialização por rede PXE Base Code. Durante o boot pela rede, ele processa mensagens de erro ICMP. Para cada mensagem são reservados 504 bytes de memória, mas o tamanho dos dados recebidos não é verificado. Se a mensagem exceder o limite permitido, parte dos dados é gravada em uma área de memória vizinha.
Para realizar o ataque, o invasor precisa enviar uma mensagem de rede especialmente elaborada a um dispositivo no momento em que ele inicializa pela rede. Isso pode provocar uma falha e, caso se conheçam as particularidades da versão específica do firmware, permite executar código arbitrário com os privilégios máximos do processador. Nesse caso, a cadeia de inicialização confiável é rompida, e pode haver acesso ao módulo TPM ou a um disco criptografado. Após a reinicialização, o código malicioso não persiste, mas durante a execução pode instalar carga adicional no dispositivo.
Na prática, a exploração da vulnerabilidade exige acesso à rede local, por exemplo por meio de uma conta comprometida ou outra forma de presença dentro da organização. A CVE-2026-97631, por si só, não permite invadir uma rede. A ameaça afeta apenas dispositivos com boot pela rede, principalmente aqueles com firmware baseado em EDK II com suporte a PXE. Sistemas que iniciam a partir de unidades internas não são afetados.
O código EDK II é utilizado por fornecedores de firmware como AMI, Insyde e Phoenix, e o trecho vulnerável também está presente no Project Mu, variante voltada à segurança aprimorada pela Microsoft. Um número significativo de sistemas está em risco. A vulnerabilidade foi descoberta por Alex Matrosov, da Anthropic, e Dan Holmes-Mitra, do Google, que combinaram não divulgar detalhes até janeiro de 2027. No entanto, em setembro a AMI publicou uma atualização de código com a descrição do problema e a solução, e em seguida o projeto TianoCore também tornou a informação pública.
O código com a correção, de acesso livre, cria o risco de que invasores o analisem e encontrem uma forma de explorar a falha. O desenvolvimento e a distribuição de atualizações de firmware exigirão muito tempo, já que se trata de milhões de sistemas. A Intel declarou que, entre seus produtos comerciais que recebem atualizações de segurança, não foram identificados modelos vulneráveis. O componente afetado não faz parte do código de referência da Intel, mas pode ser usado por fabricantes de placas-mãe e computadores. A Arm ressaltou que o problema não diz respeito aos seus produtos. Recomenda-se que organizações que utilizam boot pela rede consultem seus fornecedores de firmware para saber se o hardware é afetado e quando a correção é esperada e, se possível, desativem temporariamente o boot pela rede.