CVE-2026-97631 UEFI propust pronađen je u EDK2 mrežnom pokretaču koji se koristi u UEFI firmveru brojnih serverskih i poslovnih računara. Ocena ozbiljnosti je 9,5 od 10, a greška može da omogući izvršavanje koda još pre učitavanja operativnog sistema — ali samo na uređajima koji koriste pogođeni PXE mrežni boot.
To je važna razlika za čitaoca: ovo nije nova opasnost za svaki kućni računar povezan na internet. Najizloženiji su serveri i radne stanice koje se podižu preko mreže, naročito u kompanijama, školama, data centrima i laboratorijama. Administratori bi odmah trebalo da provere firmver i da isključe mrežno podizanje sistema tamo gde nije potrebno.
CVE-2026-97631 UEFI propust nastaje pre Windowsa ili Linuxa
EDK2 je otvorena razvojna osnova za UEFI firmver. Proizvođači hardvera mogu da je koriste kao deo softvera koji pokreće računar, proverava osnovne komponente i predaje kontrolu operativnom sistemu. PXE, odnosno Preboot Execution Environment, omogućava da uređaj preko lokalne mreže preuzme sliku sistema i pokrene instalaciju ili servisni alat bez USB memorije i lokalnog diska.
Prema zvaničnom TianoCore bezbednosnom upozorenju, greška je u načinu na koji PXE Base Code drajver obrađuje određene ICMP mrežne poruke. Podaci mogu biti kopirani u bafer fiksne veličine bez dovoljne provere dužine. Rezultat je upis van predviđene memorije, što napadaču na odgovarajućoj mreži može da otvori put do izvršavanja proizvoljnog koda u pre-boot okruženju.
Jednostavnije rečeno, zlonamerna poruka stiže dok računar još nije stigao do ekrana za prijavu. Zato uobičajeni antivirus i zaštite unutar operativnog sistema ne mogu da zaustave prvi korak napada. Secure Boot i TPM ostaju korisni bezbednosni slojevi, ali nisu čarobni štit kada se propust nalazi u komponenti koja radi pre nego što se lanac poverenja potpuno uspostavi.
Ko je stvarno pogođen
CVE-2026-97631 UEFI propust odnosi se na EDK2 izdanja do grane stable202608, ali to ne znači da svaki uređaj sa UEFI firmverom automatski koristi ranjivi kod. Konačan odgovor zavisi od proizvođača matične ploče, servera ili računara, verzije BIOS/UEFI paketa i toga da li je PXE komponenta uključena. Zbog toga korisnik ne treba nasumično da instalira firmver namenjen drugom modelu.
Za uspešan napad potrebni su i dodatni uslovi. Napadač mora da dođe do mreže sa koje može da komunicira sa uređajem tokom PXE faze, a uređaj mora da koristi pogođeni drajver. Za sada nema javno potvrđenih podataka da se CVE-2026-97631 masovno iskorišćava. Ipak, visoka ocena nije ukras: kod servera koji se redovno podižu preko mreže posledice mogu biti ozbiljne jer bi kompromitovanje počelo ispod nivoa operativnog sistema.
Pet poteza koje administratori mogu da urade danas
- Napravite inventar servera i radnih stanica na kojima je uključen PXE ili Network Boot.
- Proverite bezbednosnu stranicu proizvođača uređaja i tačan broj trenutne BIOS/UEFI verzije.
- Ako mrežni boot nije potreban, isključite ga u firmveru i ostavite lokalni disk kao prvi uređaj za pokretanje.
- Za neophodan PXE odvojite servisnu mrežu, ograničite pristup i nadgledajte neuobičajene ICMP poruke.
- Firmver prvo testirajte na manjem broju sistema i pripremite podržan postupak oporavka pre masovne instalacije.
Promena firmvera traži više opreza od obične aplikativne zakrpe. Prekid napajanja, pogrešan paket ili nekompatibilna verzija mogu da ostave uređaj neupotrebljivim. Zato su tačan model, dokumentovana procedura i mogućnost povratka važniji od brzog klika na prvi pronađeni BIOS fajl. Naš raniji vodič za oporavak Debian servera pokazuje zašto proverene rezervne kopije i plan povratka treba pripremiti pre rizične izmene.
Šta korisnik kućnog računara treba da uradi
Ako se računar normalno podiže sa internog SSD-a i nikada ne koristi mrežnu instalaciju, nema razloga za paniku. Proverite da li proizvođač nudi novo izdanje firmvera i instalirajte ga u skladu sa zvaničnim uputstvom. U BIOS/UEFI meniju možete proveriti da li su PXE Boot, Network Stack ili Boot from LAN uključeni; ako vam nisu potrebni, isključivanje smanjuje površinu napada.
Najvažniji sledeći korak ipak pripada proizvođačima. Pošto se EDK2 ugrađuje u njihove pakete, krajnji korisnik uglavnom ne može sam da zameni samo pogođeni modul. Potrebna je zvanična, potpisana nadogradnja za konkretan uređaj. Dok ona ne stigne, razumno privremeno rešenje je gašenje nepotrebnog PXE-a i stroža kontrola lokalne mreže.
