一项潜伏约16年的UEFI固件漏洞于近日曝光，编号为CVE-2026-97631，CVSS 4.0评分达到9.5分，属于严重级别。该漏洞存在于开源UEFI参考实现TianoCore EDK II的PXE网络启动驱动中，攻击者可在特定条件下于操作系统启动前执行恶意代码，影响使用相关组件的服务器及其他设备。
根据TianoCore于当地时间10月22日发布的安全公告，该漏洞源于EDK II的PXE Base Code驱动（NetworkPkg / UefiPxeBcDxe）在处理ICMP错误报文时存在缓冲区越界写入问题。相关代码将接收到的数据复制到一个固定大小为504字节的缓冲区中，但未能正确限制复制长度，攻击者可利用超长报文覆盖相邻内存区域。相关代码可追溯至约2010年，至今已存在约16年。
从攻击路径看，攻击者需在目标设备通过PXE进行网络启动时，向其发送经过特殊构造的ICMP错误报文以触发缓冲区溢出。成功利用后，攻击者可能在操作系统加载前执行任意代码；即使未能实现代码执行，也可能导致系统启动过程异常或中断。该漏洞的特殊风险在于，攻击发生在操作系统及其安全防护机制加载之前。根据安全公告，恶意代码可能在安全启动（Secure Boot）和度量启动完成相关校验之前执行，因此不能单纯依靠这些机制防御此类攻击。不过，成功利用漏洞执行任意代码需要针对目标固件环境进行适配，并非发送报文就必然能够取得控制权。
EDK II是众多硬件厂商构建UEFI固件时使用的开源代码基础，相关实现被AMI、Insyde、Phoenix等固件供应商采用，微软的Project Mu也使用了相关组件。因此，漏洞影响范围可能涉及多家厂商的服务器及其他硬件设备，但具体受影响范围仍取决于设备采用的固件版本、组件配置及是否启用了PXE网络启动。该漏洞并不意味着所有服务器都可以直接遭到远程攻击，攻击者需要能够在目标设备进行PXE网络启动期间向其发送相应报文。如果设备仅从本地硬盘或SSD启动，且不使用受影响的网络启动组件，则不属于上述攻击场景。
修复进展方面，TianoCore已于10月15日将相关修复合并至EDK II上游主分支，但截至目前，修复尚未纳入稳定版本。红帽安全公告显示，RHEL 8、RHEL 9和RHEL 10中的edk2软件包均被列为受影响，相关修复状态仍需进一步跟进。
对服务器与云计算基础设施运营方而言，该漏洞的处置重点在于梳理固件供应链与启动配置。由于缺陷位于操作系统加载之前的固件层，常规的主机安全代理与终端防护难以覆盖，企业需要依赖固件供应商的补丁节奏，并评估PXE网络启动在生产环境中的实际使用范围。在稳定版本修复落地前，限制不必要的网络启动入口、隔离启动网络，或将成为降低暴露面的可行手段。
该文观点仅代表作者本人，企服科学平台仅提供信息存储空间服务。
