PXE-Boot: 16 Jahre alte EDK-II-Lücke umgeht Secure Boot vor dem Systemstart

In der weit verbreiteten UEFI-Referenzimplementierung TianoCore EDK II ist eine kritische, rund 16 Jahre alte Sicherheitslücke entdeckt worden. Die Schwachstelle mit der Bezeichnung CVE-2026-97631 betrifft den Netzwerk-Boot-Prozess und ermöglicht entfernten Angreifern die Ausführung von beliebigem Schadcode mit höchsten Rechten. Wie aus Berichten vom 28. Oktober 2026 hervorgeht, wurde die Schwachstelle nach einem versehentlich gebrochenen Embargo vorzeitig publik.

Code-Ausführung vor dem Start von Sicherheitsmechanismen

Die Lücke wurde mit einem CVSS-Score von 9,5 von 10 als kritisch eingestuft. Sie befindet sich im PXE Base Code Driver innerhalb des Software-Pakets NetworkPkg/UefiPxeBcDxe. Ursache ist ein Pufferüberlauf, der durch eine präparierte ICMP-Fehlermeldung mit einer Größe von über 504 Byte ausgelöst werden kann. Dabei wird die interne Datenstruktur Mode.IcmpError überschrieben.

Dadurch erhalten Angreifer die Möglichkeit, eigenen Code während der sogenannten DXE-Phase auf Ring-0-Ebene auszuführen. Dies geschieht zeitlich noch vor dem Eingreifen von Schutzmechanismen wie Secure Boot oder Measured Boot.

Die zugrunde liegende fehlerhafte Kopierschleife existiert bereits seit einem Quellcode-Commit aus dem November 2010. Betroffen sind alle EDK-II-Versionen bis einschließlich dem Release edk2-stable202608 vom 21. August 2026.

Rechenzentren im Fokus

Das Einfallstor betrifft primär Server und Rechenzentren, die das PXE-Boot-Verfahren über IPv4 oder IPv6 für die automatisierte Bereitstellung nutzen. Branchenberichten zufolge könnten potenziell die meisten Server weltweit verwundbar sein. Reine Disk-Boot-Systeme sowie Endgeräte von Heim- und Kleinbüro-Nutzern sind hingegen nicht betroffen.

Auf Entwicklerseite findet der Code breite Anwendung: Führende UEFI-Anbieter wie AMI, Insyde und Phoenix sowie Microsofts Firmware-Initiative Project Mu stützen sich auf die betroffenen Komponenten. Entdeckt hatten das Problem Alex Matrosov von Anthropic und Dan Holmes-Mitra von Google.

Immer mehr Unternehmen werden zur Zielscheibe komplexer Cyberangriffe – diese Checkliste hilft Ihnen, proaktiv gegenzusteuern. Experten erklären im kostenlosen E-Book, wie Sie Sicherheitslücken schließen und Ihre IT-Infrastruktur wirksam absichern. Gratis-Report zur Cyber Security jetzt herunterladen

Ursprünglich war die koordinierte Offenlegung erst für Januar 2027 vorgesehen gewesen. Ein Pull Request von AMI am 14. Oktober 2026 hob das Embargo jedoch ungewollt vorzeitig auf, woraufhin TianoCore am 22. Oktober 2026 eine offizielle Sicherheitswarnung herausgab.

Flickenteppich bei Patches und Reaktionen

Ein Fix wurde zwar am 15. Oktober 2026 in den Master-Zweig von EDK II integriert, ein stabiles Veröffentlichungs-Release liegt bislang jedoch nicht vor, und der Status in der Sicherheitswarnung verblieb zunächst bei ungepatcht. Für Project Mu stellte Microsoft korrigierte Fassungen über Release-Zweige sowie getaggte Builds am 26. Oktober 2026 bereit.

Bei Linux-Distributionen wie Red Hat Enterprise Linux 8, 9 und 10 ist das zugrundeliegende edk2-Paket betroffen und weiterhin ungepatcht. Auch SUSE und Debian verzeichnen betroffene Pakete, wobei Debian das Problem für die Version trixie als geringfügig einstufte.

Wer die IT-Sicherheit im eigenen Betrieb stärken möchte, muss die aktuellen Bedrohungen und gesetzlichen Anforderungen genau kennen. Dieser kostenlose Ratgeber enthüllt, wie Sie Schwachstellen ohne teure Investitionen identifizieren und langfristig beheben. Kostenloses Cyber-Security E-Book sichern

Seitens der Hardware-Hersteller teilte Intel mit, dass nach bestem Wissen keine unterstützten kommerziellen Eigenprodukte direkt betroffen seien, eine OEM-Integration jedoch möglich bleibe. Arm erklärte, die Lücke sei für die eigene Architektur nicht direkt anwendbar. Andere Branchengrößen wie AMD, Phoenix, AMI, Microsoft und Amazon ließen Anfragen dazu unbeantwortet.

Bisher keine Angriffe bekannt

Nach derzeitigem Stand liegen laut Behörden wie der CISA keine Erkenntnisse über eine aktive Ausnutzung vor. Ein öffentlich bestätigter Exploit existiert nicht, da ein erfolgreicher Angriff tiefgreifende Kenntnisse der Ziel-Firmware erfordert und für jedes Servermodell sowie jede Konfiguration individuell angepasst werden muss.

Zudem ist die Schadcode-Payload im Speicher nicht persistent, kann jedoch als Einstiegstor für das Nachladen dauerhafter Schadsoftware dienen. Bis zur Bereitstellung offizieller Firmware-Aktualisierungen durch die jeweiligen Hersteller wird IT-Verantwortlichen geraten, PXE-Boot temporär zu deaktivieren und Netzwerkprotokolle auf auffällige Aktivitäten hin zu prüfen.

Mehr zum Thema bei Golem.de: „Angriff auf PXE-Boot: 16 Jahre alte Uefi-Lücke gefährdet unzählige Server“