Administradores de segurança cibernética em todo o mundo estão enfrentando as consequências de uma nova vulnerabilidade de software altamente perigosa relacionada à execução de códigos na fase inicial de inicialização (Boot-time), encontrada no firmware utilizado pela maioria dos fornecedores de servidores e data centers em nível global.
A vulnerabilidade possui uma classificação de gravidade de 9,5 em 10 e está centrada no TianoCore EDK II, uma base de código de código aberto na qual fabricantes de hardware e provedores de serviços em nuvem dependem para desenvolver o firmware UEFI que opera durante a sequência de inicialização dos dispositivos. A vulnerabilidade foi rastreada sob o identificador CVE-2026-97631 e consiste em uma falha de corrupção de memória dentro do componente ICMP, permitindo que invasores executem códigos maliciosos antes da inicialização do sistema operacional e da ativação de mecanismos de proteção como o Secure Boot.
Como a vulnerabilidade é explorada e seu mecanismo técnico
O problema reside no código do driver de inicialização de rede chamado PXE-Base Code, que é responsável por permitir que dispositivos e servidores inicializem usando códigos baixados pela rede local. Durante esse processo, o driver utiliza uma ferramenta de escuta de rede para monitorar erros de ICMP sem impor um limite de cópia de memória superior a 504 bytes. Isso permite que um invasor com acesso de baixo nível à rede local envie uma mensagem de erro com um tamanho que excede o limite permitido, levando à sobrescrita de dados adjacentes e à corrupção do módulo UEFI que é executado na unidade central de processamento no nível mais alto de privilégio (Ring 0).
Por que esta notícia é importante e quais são seus impactos práticos?
A gravidade da vulnerabilidade reside em sua capacidade de contornar a cadeia de confiança antes que o módulo de kernel confiável TPM e os mecanismos de inicialização segura sejam carregados, dando aos invasores uma oportunidade de ouro para elevar privilégios ou desativar sistemas. No entanto, existem limitações práticas que dificultam a sua exploração: a vulnerabilidade exige que o invasor tenha acesso prévio à rede local e adivinhe endereços específicos dentro do sistema-alvo, o que significa que ela não afeta usuários comuns ou dispositivos que inicializam exclusivamente a partir de unidades locais, limitando-se às organizações que dependem da inicialização via rede e utilizam o framework EDK2.
Pesquisadores e desenvolvedores de firmware se apressaram para fornecer atualizações e diretrizes necessárias, recomendando que as organizações verifiquem seus fornecedores de sistemas e apliquem correções de software com urgência, além de considerar a desativação temporária de recursos de inicialização via rede quando não forem necessários e monitorar os registros para detectar quaisquer tentativas de exploração.