Faille UEFI CVE-2026-97631 : un bug de 16 ans menace les serveurs

La faille CVE-2026-97631, notée 9,5 sur 10 et révélée en octobre 2026, est un dépassement de mémoire vieux de 16 ans dans le code EDK II de TianoCore qui permet d'exécuter du code avant le démarrage du système d'exploitation, selon [Ars Technica](https://arstechnica.com/security/2026/10/code-execution-flaw-in-uefi-firmware-threatens-most-servers-on-planet-earth/). Elle touche le firmware UEFI de la plupart des serveurs, mais seulement ceux qui démarrent par le réseau.

Qu'est-ce que la faille CVE-2026-97631 ?

EDK II est la base open source que les fabricants de cartes mères et de serveurs utilisent pour construire le firmware UEFI, le logiciel qui s'exécute à l'allumage. La faille se situe dans le pilote PXE Base Code (NetworkPkg/UefiPxeBcDxe), chargé du démarrage depuis le réseau local. Ce pilote écoute les messages d'erreur ICMP et les copie dans un champ fixe de 504 octets sans respecter cette limite : un message trop long écrit au-delà du champ et corrompt la mémoire voisine.

Le code s'exécute alors au niveau le plus privilégié du processeur, avant que Secure Boot ou d'autres défenses ne soient actives. La charge utile n'est pas persistante, mais elle peut ouvrir la voie à d'autres composants malveillants lancés à chaque démarrage.

Qui est concerné, et qui ne l'est pas ?

• Concernés : les organisations dont les machines démarrent par le réseau (PXE, activé par défaut) avec un firmware fondé sur EDK II, dont les éditeurs AMI, Insyde et Phoenix.

• Non concernés : les particuliers et petites structures qui démarrent uniquement depuis un disque.

• Position des fabricants : Intel indique qu'aucun de ses produits commerciaux encore supportés n'est connu comme affecté, tout en précisant qu'un fabricant de cartes peut intégrer la fonction ; Arm juge la faille non applicable directement à ses produits.

Quelle est la difficulté d'exploitation ?

L'attaquant doit contrôler une partie du réseau local : un initié ou un intrus déjà présent, comme un groupe étatique ou un opérateur de rançongiciel. Aucune preuve n'indique que la faille serve de point d'entrée initial. Selon Jesse Michael, chercheur chez Eclypsium, l'exploit doit aussi être adapté à chaque modèle et version de firmware, car les adresses mémoire changent. HD Moore, de Dragos, souligne qu'elle pourrait servir à contourner le chiffrement de disque, le démarrage restant proche du TPM.

Pourquoi la divulgation pose problème ?

Les découvreurs, Alex Matrosov (Anthropic) et Dan Holmes (Google), prévoyaient une divulgation coordonnée en janvier. Mais AMI a publié le mois dernier une demande de fusion détaillant le correctif, et TianoCore a diffusé un avis public la semaine dernière. Le code du correctif étant public, des attaquants expérimentés peuvent comprendre le déclenchement. La situation rappelle la faille PHP2Shell, elle aussi divulguée dans le désordre (voir notre article).

Que faire ?

Le correctif est simple côté code, mais il passe par une mise à jour du BIOS/UEFI fournie par le constructeur, sans gestion de révocation de clés comme pour les contournements de Secure Boot (voir BlackX). En attendant, les administrateurs peuvent désactiver le démarrage PXE là où il est inutile et segmenter leur réseau d'amorçage. Selon HD Moore, ce sera sans doute un bug « éternel » sur les systèmes hors support.

Source : Ars Technica.