Anthropic ve Google araştırmacıları, açık kaynaklı TianoCore EDK II çerçevesinde CVE-2026-97631 kodlu kritik bir güvenlik açığı keşfetti. Açık, 10 üzerinden 9,5 puan aldı. Zira saldırgan, işletim sistemi açılmadan evvel UEFI seviyesinde istediği kodu çalıştırabiliyor. Üstelik Secure Boot üzere muhafaza düzenekleri şimdi devreye girmiyor.

UEFI, aygıt açılırken işletim sisteminden evvel çalışan temel yazılımdır. Bu sebeple buradaki bir açık, sistemin en alt katmanını etkiliyor. Fakat saldırganın yerel ağa erişimi olması gerekiyor.

CVE-2026-97631 Nasıl Çalışıyor?

İlk olarak, kusur PXE şoförünün ICMP bildirilerini işleyen kısmında yer alıyor. PXE, bir aygıtın işletim sistemini diskten değil ağ üzerinden yüklemesini sağlayan prosedürdür. Bilhassa ağdan önyükleme sırasında aşırı uzun bir ICMP bildirisi gelirse sorun başlıyor. Böylelikle 504 baytlık bir arabellek taşması oluşuyor.

Arabellek taşması, yani datanın ayrılan alanın dışına yazılması, burada şoförün bağlam yapısını aşıyor. Bu yüzden saldırgan, yapının dışındaki bir alana bilgi yazabiliyor. Ama işin güç bir yanı da var. Amaç donanım yazılımının adres alanının tam olarak bilinmesi gerekiyor.

Yine de hazırlıklı bir saldırgan için bu pürüz aşılabilir. Başarılı bir atak itimat zincirini bozabilir. Ayrıyeten TPM’e, yani güvenlik çipine erişim sağlayabilir. Bu da disk şifreleme anahtarlarının açığa çıkma ihtimalini doğuruyor.

Neden Bu Kadar Çok Sunucuyu İlgilendiriyor?

EDK II, UEFI’nin referans uygulaması olarak kabul ediliyor. AMI, Insyde ve Phoenix dahil, neredeyse tüm sunucu donanımı üreticileri bu çerçeveyi kullanıyor. Bulut sağlayıcıları da birebir yapıya dayanıyor. Bu sebeple CVE-2026-97631 çok geniş bir alanı ilgilendiriyor.

Araştırmacılar, koordineli açıklamayı Ocak 2027’ye planlamıştı. Ama anakart üreticisi AMI, açığın detaylı tarifini ve düzeltmesini içeren bir pull request’i erkenden yayımladı. Akabinde TianoCore Projesi resmî bir güvenlik bildirisi (advisory) paylaştı. Münasebetiyle yama artık hazır. Ancak milyonlarca aygıtta donanım yazılımı güncellemesi aylar sürecek.

Kimler Risk Altında, Ne Yapılabilir?

Açık sadece PXE ağ yüklemesi kullanan sistemleri etkiliyor. Örneğin diskten açılan mesken bilgisayarları risk altında değil. Bununla birlikte uzmanların değerlendirmesine nazaran CVE-2026-97631 bir tıp “ölümsüz” açığa dönüşebilir. Zira açık, eski donanımlarda yıllarca varlığını sürdürebilir.

Yama yaygınlaşana kadar şu süreksiz tahliller uygulanabilir:

• PXE önyüklemesini devre dışı bırakmak
• Günlük kayıtlarını sömürü teşebbüslerine karşı izlemek

Düzeltme artık yayında. Fakat güncellemelerin milyonlarca sunucuya ulaşması aylar alacak. Bu süreçte sistem yöneticileri, üreticilerin yayımlayacağı donanım yazılımı güncellemelerini bekleyerek PXE önyüklemesini kapalı tutabilir.

Kaynak: Shiftdelete