Faille critique dans le firmware UEFI : avis public pour CVE-2026-97631
Le projet TianoCore a publié un avis public sur une vulnérabilité critique de corruption mémoire dans le code source EDK II, après une fuite via une demande de tirage d'AMI.
Les membres du projet TianoCore ont publié la semaine dernière un avis public concernant CVE-2026-97631, une vulnérabilité de corruption mémoire notée 9,5 sur 10 qui affecte la base de code open source TianoCore EDK II, utilisée pour construire des firmwares UEFI. Selon Wired, cette divulgation intervient après qu'une demande de tirage d'un fournisseur a exposé la faille avant une divulgation coordonnée prévue pour janvier.
Le défaut est un débordement de tampon vieux de 16 ans dans le pilote PXE-Base Code (NetworkPkg/UefiPxeBcDxe), qui permet aux appareils de démarrer à l'aide de code téléchargé depuis un réseau local. Le pilote n'applique pas la limite de copie mémoire de 504 octets lors de la surveillance des erreurs ICMP pendant le démarrage PXE, ce qui permet d'écraser des données adjacentes.
Un attaquant peut provoquer un déni de service en bloquant la séquence de démarrage, ou implanter un événement contrefait qui exécute du code dans l'environnement du firmware UEFI au niveau ring 0 du processeur. Les exploits contournent les processus d'attestation utilisés pour prouver cryptographiquement à des serveurs distants qu'un matériel est sûr. Les charges finales livrées par CVE-2026-97631 n'ont aucune persistance et ne s'exécutent qu'une seule fois.
La vulnérabilité a été découverte par Alex Matrosov, d'Anthropic, et Dan Holmes, de Google. Le projet TianoCore n'a pas précisé de calendrier de correctif dans son avis.
Un contexte de divulgations précipitées
En octobre 2025, un représentant du Forum UEFI avait qualifié EDK2 de « solution et implémentation prééminente » des spécifications UEFI. Le mois dernier, AMI a publié une demande de tirage détaillant la vulnérabilité et incluant un correctif. Les parties à la découverte avaient organisé la confidentialité de la faille jusqu'à une divulgation coordonnée prévue en janvier. Cette annonce survient six jours après une autre divulgation ratée concernant une vulnérabilité critique d'exécution de code dans le langage de programmation PHP.
En bref
Qu'est-ce que CVE-2026-97631 ?
C'est une vulnérabilité de corruption mémoire notée 9,5 sur 10 dans la base de code open source TianoCore EDK II, utilisée pour construire des firmwares UEFI. Elle prend la forme d'un débordement de tampon de 16 ans dans le pilote PXE-Base Code.
Qui a découvert la faille ?
La vulnérabilité a été découverte par Alex Matrosov, d'Anthropic, et Dan Holmes, de Google.
Quel est l'impact d'une exploitation ?
Un attaquant peut provoquer un déni de service en bloquant le démarrage, ou exécuter du code dans le firmware UEFI au niveau ring 0. Les charges finales n'ont aucune persistance et ne s'exécutent qu'une fois.