Dünyanın dört bir yanındaki savunma ekipleri, çoğu sunucu üreticisi ve veri merkezinin kullandığı önyükleme zamanı yazılımında ortaya çıkan bir diğer hatalı kod çalıştırma açığına yanıt verme yüküyle karşı karşıya.
9,5 üzerinden 10 şiddet puanına sahip açık, donanım üreticilerinin ve bulut sağlayıcılarının önyükleme sırasında çalışan UEFI yazılımını oluşturmak için kullandığı açık kaynak kod tabanı TianoCore EDK II içinde bulunuyor. Geçen yıl UEFI Forum temsilcisi EDK2’yi “UEFI spesifikasyonlarının önde gelen çözümü / uygulaması” olarak tanımlamıştı. AMI, Insyde ve Phoenix dahil neredeyse tüm UEFI tedarikçileri, bazen IBV ya da bağımsız BIOS üreticisi olarak da anılıyor, referans kodu yoğun biçimde kullanıyor. Microsoft’un sertleştirilmiş EDK2 çatısı Project Mu da açık içeren kodu kullanıyordu.
Açık, CVE-2026-97631 olarak izleniyor ve işletim sistemi ile yazılımın Secure Boot gibi savunmaları devreye almasından önce kötü amaçlı kod çalıştırılmasına olanak veren bir ICMP bileşenindeki bellek bozulması hatası. Secure Boot, önyükleme sırasında yüklenen Trusted Platform Module dahil tüm kod için güven zinciri oluşturuyor. CVE-2026-97631 ile teslim edilen son yüklerin kalıcılığı yok; yani yalnızca bir kez çalışıyorlar, ancak saldırganların her önyüklemede erken aşamada çalışan başka yükler kurması için geniş bir kapı açabiliyor.
Kedi çuvaldan çıktı
CVE-2026-97631’i bulan taraflar Anthropic’ten Alex Matrosov ve Google’dan Dan Holmes, açığın ocak ayında planlanan koordineli açıklama tarihine kadar gizli kalması için anlaşmıştı. Anakart ve diğer donanım üreticisi AMI, geçen ay açığı detaylandıran ve kod düzeltmesi içeren bu pull request’i yayımladı. Paylaşım bulan tarafların dikkatine sunulunca TianoCore Projesi üyeleri geçen hafta kamuya açık bir uyarı yayımladı.
Yama kodu kamuya açık olunca ileri düzey saldırganların açığın nasıl tetiklendiğini öğrenip çalışan istismarlar oluşturması kolaylaşacak. Binlerce donanım üreticisi ve bulut sağlayıcısının sattığı ve kullandığı milyonlarca son cihazda UEFI kod açıklarını yamalamak zahmetli ve zaman alıcı. Açığın duyumu, PHP programlama dilindeki kritik bir kod çalıştırma açığını içeren bir diğer hatalı ifşa olayından altı gün sonra geldi.
Metasploit’in yaratıcısı ve güvenlik firması Dragos’ta baş araştırmacısı HD Moore, “EDK2 ağ yığınının ICMP ayrıştırıcısındaki bu açık, güven zincirini ve daha geniş ekosistemi nasıl etkilediği açısından ilginç” dedi. “Yakındaki bir uç noktayı ya da sunucuyu tehlikeye atmak isteyen bir saldırgan, önyükleme süreci uç noktanın TPM’i gibi hassas bileşenlere erişimi hâlâ korurken program akışını ele geçirmek için bu hatayı kullanabilir. Bu, saldırganın kısa süreli ağ erişimi olduğu durumlarda disk şifrelemesini kırmak için kullanılabilir ve hırsızlık senaryosunda daha da kolay olur.”
CVE-2026-97631, yerel ağdan indirilen kodla önyükleme yapmayı sağlayan PXE-Base Code sürücüsünde (NetworkPkg/UefiPxeBcDxe) 16 yıllık bir arabellek taşması. Bu süreç, ön çalıştırma ortamı önyüklemesi olarak biliniyor ve sürücü ICMP hatalarını izlemek için bir ağ dinleyicisi kullanıyor. Sürücü 504 baytlık bellek kopyalama sınırını uygulamadığı için bitişik veriler üzerine yazılıyor; yerel ağa düşük seviyede erişim elde etmiş kötü niyetli bir içeriden kişi ya da saldırgan bu sınırın ötesine kod ekleyen bir hata mesajı gönderebiliyor. CPU üzerinde çalışan UEFI modülü böylece bozuluyor.
Resmi uyarı şöyle diyor:
Ağ üzerinden önyükleme sırasında PXE Base Code sürücüsü (NetworkPkg/UefiPxeBcDxe) ICMP hata mesajları için açık bir alma isteği tutuyor ve alınan her mesajı özel bağlam yapısının sabit 504 baytlık alanı Mode.IcmpError içine kopyalıyor. Kopyalama döngüsünün sınır işleme mantığı hem IPv4 hem IPv6 işleyicilerinde (PxeBcIcmpErrorDpcHandle ve PxeBcIcmp6ErrorDpcHandle) hatalı: 504 bayttan uzun bir mesaj için hâlâ baytları alana kopyalıyor ve hedef işaretçiyi parça başına uzunluk yerine kümülatif uzunluk kadar ilerletiyor, böylece aşırı boyutlu bir mesaj saldırganın kontrol ettiği baytları alanın dışına yazıyor. Alma yolunda mesaj uzunluğunu sınırlayan bir mekanizma yok.
Kötü niyetli hata, PXE önyükleme dizisi sırasında gönderildiği sürece hedef cihazın IP adresine herhangi bir ağ mesafesinden gönderilebilen basit bir tek noktaya yayın yoluyla iletilebiliyor. Saldırgan önyükleme dizisini askıya alarak hizmet reddi oluşturabiliyor. Saldırgan hedef yazılım derlemesini biliyorsa, kötü amaçlı kodu CPU’da UEFI yazılım ortamında çalıştıran bir “sahte olay” yerleştirebiliyor. Kod, CPU’nun en ayrıcalıklı yürütme düzeyi olan ring 0’da çalışıyor. İstismarlar, donanımın güvenli olduğunu uzaktan sunuculara kriptografik olarak kanıtlamayı amaçlayan onaylama süreçlerini atladığı için sınırlı ayrıcalıkları yükseltmek için önemli bir fırsat sunuyor.
Bir başka sonsuza dek gün
CVE-2026-97631, UEFI’de ya da onunla yakın çalışan kodda daha önce keşfedilmiş uzun bir açık listesine katılıyor. Bunların en ciddisi LogoFail, hemen hemen her donanım üreticisinin UEFI’sine dahil edilen logo görüntülerinden kaynaklanıyordu. İşleme hataları saldırganların UEFI’nin uyguladığı güven zincirini baltalamasına ve işletim sistemi ya da Secure Boot çalışmadan önce kötü amaçlı bileşenler kurmasına izin veriyordu. PixieFail, CVE-2026-97631’e benzer bir açık; o da EDK2’deki hatalı PXE önyükleme kusurlarının sonucuydu. Açığın keşfinden sonra araştırmacılar açık kaynak kod kütüphanesinde diğer kritik kusurları ortaya çıkarmak için çok sayıda karalama projesi başlattı. Bu çabaların en son açığı bulamadığı anlaşılıyor.
Diğer yakın zamanda keşfedilen UEFI açıkları arasında:
PKFail, on yıldan fazla bir süredir kamuya açık olmasına rağmen keşfedilmeden önce yüzlerce cihaz modelinde kullanılan üretim dışı test platform anahtarlarından kaynaklanan bir tedarik zinciri hatası.
CVE-2026-97631 gibi bu yüklerin istismar edilmesi ya da kullanılması çekici çünkü saldırganların TPM ve diğer savunmalar yüklenmeden önce makineleri önyükleme sürecinin erken aşamasında enfekte etmesine izin veriyor ve böylece en fazla zararı vermelerini sağlıyor. CVE-2026-97631’in yaygınlığı nedeniyle Moore, bunun destek süresi bitmiş sistemlerde yaşamaya devam edecek bir “sonsuz” hata olabileceğini söyledi.
Bu son açığı istismar etmenin önemli sakıncaları ve sınırlamaları var. Not edildiği gibi yerel ağ üzerinde bir düzeyde kontrol ön koşul. Bu, istismarı muhtemelen içeriden kişilere ya da ulus-devletler ya da fidye yazılımı operatörleri gibi ağ içinde düşük seviyeli erişim elde eden saldırganlarla sınırlıyor ve sistem haklarını yükseltmek için bir yol arıyorlar. CVE-2026-97631’in bir ağa ilk giriş noktası sağladığına dair henüz bir kanıt yok. Aşılması gereken başka engeller de var.
Firmware güvenlik firması Eclypsium’da baş araştırmacı Jesse Michael, Ars’a “Açığı istismar etmek için saldırganın hedef sistem içindeki belirli adresleri tahmin etmesi gerekiyor, bu yüzden tek bir istismarı her hedefe atıp çeşitli cihazlarda uzaktan kod çalıştırma elde edemezsiniz, adresler bu değiştiği için her hedef model/sürüm/yapılandırma için ayarlanması gerekir” dedi. “BootHole, Black Lotus ve Baton Drop gibi önceki yüksek profilli açıkların aksine, bu açık temel bir kod düzeltmesiyle giderilebilir, bu bir BIOS/UEFI güncellemesi dağıtmayı gerektirecek, ancak iptaller, pk/kek/db/dbx anahtar yönetimi güncellemeleriyle uğraşmak ya da Secure Boot atlama durumlarında olduğu gibi işletim sistemi ve sağlama medyasını güncellemek zorunda kalmayacak.”
CVE-2026-97631 ev ve küçük ofis kullanıcılarını ya da cihazlarını yalnızca disk sürücülerinden önyükleyen diğer kullanıcıları etkilemiyor. Bunun yerine yalnızca yerel ağlardan önyükleme yapan makineleri olan kuruluşlara ya da muhtemelen internete bağlı kaynaklardan önyükleme yapan kuruluşlara uygulanıyor. Hatta o durumda bile hedeflenen yazılımın EDK2’ye dayanması, farklı bir referans uygulaması yerine, ve PXE işlevini kullanması gerekiyor; bu varsayılan olarak açık.
Intel e-posta yoluyla “şu anda güvenlik desteği altında olan ticari ürünlerimizin” etkilendiğinin bilinmediğini söyledi. “Intel, referans kodunda etkilenen EDK2 işlevini içermiyor, ancak bir OEM anakart üreticisi ya da sistem üreticisi tarafından entegre edilmiş olabilir” diye ekledi. Müşterilere özel rehberlik için sistem üreticileriyle iletişime geçmeleri tavsiye edildi. Kamuya açık Intel referans kodu hâlâ EDK2’ye atıf yapıyor. Ayrıca TianoCore, her Intel tarafından sağlanan UEFI geliştirme kitinin “belirli bir EDK II kaynak sürümü için tamamen doğrulanmış bir uygulama” olduğunu belirtiyor. Birçok başka Intel belgesi de EDK2’ye atıf yapıyor.
Arm ise sorulara “CVE-2026-97631 doğrudan Arm’ın ürün portföyüne uygulanmıyor” yanıtını verdi. Intel gibi şirketin sunduğu yazılım da EDK2’den yoğun biçimde ödünç alıyor. TianoCore ayrıca Arm’ın EDK2’ye olan bağımlılığını belgeledi.
Bazı platformların EDK2 kodu içermemesi mümkün olsa da tüm sunucu kullanıcılarının CVE-2026-97631’in kendilerini etkileyip etkilemediğini araştırması akıllıca.
AMD, Phoenix Technologies, AMI, Microsoft ve Amazon’a gönderilen sorular bu yazı yayına girdiğinde yanıtsız kaldı; bu muhtemelen etkilenen diğer en büyük kuruluşlardan bazıları. Bu kuruluşların EDK2 kullanımına ilişkin somut yanıtlar olmadan hangi cihazların etkilendiğini ve bu kuruluşların ya da kullanıcılarının ne yapması gerektiğini söylemek imkânsız. TianoCore Projesi temsilcileri de yanıt vermedi.
Bazı okuyucular ayrıntı eksikliğinden memnun olmayacak. Özellikle ifşa tarihinin aylar önce bozulduğu hatalı ifşa vakalarında, ilk raporlamada eyleme geçirilebilir bilginin bulunmaması kaçınılmaz olabiliyor.
Etkilenenler, sistemlerini önyüklemek için kullanılan yazılımın üreticisiyle iletişime geçip rehberlik istemeli. Bunun ötesinde mümkünse ağ önyükleme yeteneklerini en azından geçici olarak kapatmayı düşünmeli. Yazılım yapılandırmaları her zaman mümkün olduğunda TPM ve Secure Boot gibi güvenlik özelliklerini etkinleştirmeli, ancak bu savunmalar bu özel tehdide karşı koruma sağlamıyor. İstismar girişimlerinin işaretleri için günlükleri izlemek de iyi bir fikir.
