UEFI固件曝9.5分漏洞 波及全球大量服务器

安全研究人员披露，UEFI固件领域出现一颗新的重磅炸弹：开源固件代码库TianoCore EDK II中存在一个编号CVE-2026-97631的内存破坏漏洞，严重程度评分高达9.5分（满分10分）。由于全球绝大多数服务器和云厂商的固件都基于这套代码构建，Ars Technica直言，其影响面可能覆盖「地球上大部分服务器」。

EDK II是硬件厂商和云服务商构建UEFI固件的开源参考实现，固件行业的三大独立BIOS厂商AMI、Insyde和Phoenix几乎都在大量使用这套代码，微软加固过的分支Project Mu同样包含存在漏洞的组件。漏洞藏在PXE网络启动驱动的ICMP报文处理里：驱动把收到的ICMP差错报文拷入一个固定504字节的字段时边界检查出错，攻击者发送一条超长报文，就能把恶意数据写到字段之外、破坏正在运行的UEFI模块。

更麻烦的是执行时机。这段恶意代码在操作系统加载之前、安全启动（Secure Boot）和可信平台模块（TPM）尚未建立信任链的阶段运行，等于绕过了固件层的大部分防线。不过漏洞也有边界：直接投递的载荷不会驻留系统，攻击者需要对目标固件有一定了解，还得能在设备联网启动的窗口内向其发送报文；只从本地硬盘启动的普通电脑不受影响。

披露过程一波三折。漏洞由Anthropic的Alex Matrosov和谷歌的Dan Holmes发现，原计划明年1月做协调披露；但硬件厂商AMI上个月在一份公开合并请求中意外公布了修复代码，TianoCore随后在上周发布了官方公告。安全界普遍担心，修复代码公开后，高级攻击者复现漏洞的难度大降，而把固件更新刷进出自上千家厂商的数以百万计的设备，注定是个缓慢的过程。

Metasploit创始人、安全公司Dragos研究主管HD Moore评论称，攻击者可利用这一漏洞在启动流程仍能访问TPM等敏感组件的阶段劫持程序流，甚至可能借此破解磁盘加密。英特尔表示其受安全支持的商用产品未见受影响，Arm称该漏洞不直接适用于其产品线。安全人员的建议是：尽快联系固件供应商获取更新，并在可行的情况下暂时关闭网络启动功能。

编译自 Ars Technica，原标题："Code-execution flaw in UEFI firmware affects most servers on planet Earth"