Los administradores de ciberseguridad de todo el mundo se enfrentan a las repercusiones de una nueva vulnerabilidad de software extremadamente peligrosa relacionada con la ejecución de código en la fase temprana de arranque (Boot-time), la cual está presente en el firmware utilizado por la mayoría de los proveedores de servidores y centros de datos a nivel mundial.
La vulnerabilidad tiene una puntuación de gravedad de 9.5 sobre 10 y se concentra en TianoCore EDK II, una base de código de código abierto de la que dependen los fabricantes de hardware y los proveedores de servicios en nube para desarrollar el firmware UEFI que opera durante la secuencia de arranque de los dispositivos. La vulnerabilidad ha sido rastreada bajo el identificador CVE-2026-97631, y consiste en un fallo de corrupción de memoria dentro del componente ICMP que permite a los atacantes ejecutar código malicioso antes de que se encienda el sistema operativo y se activen los mecanismos de protección como el Arranque Seguro (Secure Boot).
Método de explotación de la vulnerabilidad y su mecanismo técnico
El problema radica en el código del controlador de arranque de red llamado PXE-Base Code, el cual es responsable de permitir que los dispositivos y servidores se inicien utilizando código descargado a través de la red local. Durante este proceso, el controlador utiliza una herramienta de escucha de red para monitorear errores ICMP sin imponer un límite de copia de memoria que supere los 504 bytes. Esto permite que un atacante con acceso de bajo nivel a la red local envíe un mensaje de error cuyo tamaño supera el límite permitido, lo que provoca la sobrescritura de los datos adyacentes y la corrupción del módulo UEFI que opera en la unidad central de procesamiento al nivel más alto de privilegios (Ring 0).
¿Por qué importa esta noticia y cuáles son sus efectos prácticos?
La gravedad de la vulnerabilidad radica en su capacidad para sortear la cadena de confianza antes de cargar el módulo del núcleo de confianza TPM y los mecanismos de arranque seguro, otorgando a los atacantes una oportunidad de oro para elevar privilegios o deshabilitar sistemas. Sin embargo, existen restricciones prácticas que limitan su facilidad de explotación; dado que la vulnerabilidad requiere que el atacante tenga acceso previo a la red local y adivine direcciones específicas dentro del sistema objetivo, lo que significa que no afecta a los usuarios comunes o a los dispositivos que arrancan exclusivamente desde unidades locales, sino que se limita a las organizaciones que dependen del arranque por red y utilizan el marco de trabajo EDK2.
Los investigadores y desarrolladores de firmware se han apresurado a proporcionar las actualizaciones y directrices necesarias, recomendando a las organizaciones verificar a los proveedores de sistemas y aplicar los parches de software con urgencia, además de considerar la desactivación temporal de las características de arranque por red cuando no sean necesarias y supervisar los registros ante cualquier intento de explotación.