UEFI Firmware’inde Kod Çalıştırma Açığı: Gezegenimizdeki Sunucuların Çoğunu Etkiliyor.

Dünya genelinde savunma ekipleri, bu kez dünyanın sunucu üreticilerinin ve veri merkezlerinin çoğunun kullandığı önyükleme sırasında çalışan firmware’inde ortaya çıkan bir diğer kod yürütme açığının sorumluluğuyla karşı karşıya.

10 üzerinden 9,5 ciddiyet derecesine sahip olan açık, donanım üreticilerinin ve bulut sağlayıcılarının önyükleme sırasında çalışan UEFI firmware’ini oluşturmak için kullandığı açık kaynak kod tabanı TianoCore EDK II içinde bulunuyor. Geçen yıl UEFI Forumu’nu temsil eden bir temsilci, EDK2’yi “UEFI özelliklerinin önde gelen çözüm/uygulaması” olarak nitelendirmişti. AMI, Insyde ve Phoenix dahil neredeyse tüm UEFI tedarikçileri (bazen hâlâ IBV veya bağımsız BIOS üreticileri olarak adlandırılanlar) bu referans kodu yoğun şekilde kullanıyor. Microsoft’un güçlendirilmiş EDK2 çatallaması olan Project Mu da açık bileşeni içeren kodu kullanıyordu.

CVE-2026-97631 olarak izlenen açık, işletim sistemi ve firmware’in Secure Boot gibi savunmalarını (önyükleme sırasında yüklenen Trusted Platform Module (TPM) dahil tüm kod için bir güven zinciri oluşturur) devreye koyabilmesinden önce kötü amaçlı kodu yürütebilen saldırganlara kapı açan, ICMP bileşenindeki bir bellek bozulma açığı. CVE-2026-97631 tarafından ulaştırılan son yükler kalıcılık taşımaz—yani yalnızca bir kez çalışır—ancak, önyükleme sürecinin erken aşamalarında her kez çalışan diğer yüklerin kurulmasına saldırganlara geniş bir alan sağlayabilir.

Yumurta kabuğa çıktı

CVE-2026-97631’i ortayalayan taraflar—Anthropic’ten Alex Matrosov ve Google’dan Dan Holmes—açığın, Ocak ayında planlanan koordineli bir açıklamaya kadar gizli kalmasını sağlamıştı. Anakart ve diğer donanım üreticisi AMI, açık hakkında ayrıntılı bilgi veren ve bir kod düzeltmesi içeren bu istek isteğini (pull request) geçen ay yayımladı. Gönderinin, açığı ortayalayan tarafların dikkatine ulaşmasının ardından TianoCore Project üyeleri geçen hafta kamuya açık bir uyarı yayımladı.

Herkesin erişimine açık yama koduyla, gelişmiş siber saldırganların açığın nasıl tetiklendiğini öğrenmesi ve çalışan sömürü kodları geliştirmesi son derece kolay olacaktır. Aciliyeti daha da artıran bir diğer etmen ise, binlerce donanım üreticisinin ve bulut sağlayıcısının satıp kullandığı milyonlarca uç cihazdaki UEFI kodu açıklarının yamlanmasının zor ve zaman alıcı olmasıdır. Açığa dair bilgiler, PHP programlama dilinde kritik bir kod yürütme açığını içeren başka bir hatalı açıklamadan altı gün sonra geldi.

Bu açık, EDK2 ağ yığınının ICMP ayrıştırıcısındadır ve güven zincirine ve daha geniş ekosisteme etkisi açısından ilginçtir,” dedi Metasploit’in yaratıcısı ve güvenlik firması Dragos’un baş araştırma memuru HD Moore. “Yakındaki bir uç cihazı veya sunucuyu zayıflatmayı amaçlayan bir saldırgan, bu hatayı, önyükleme sürecinin hâlâ cihazın TPM’si gibi hassas bileşenlere erişimi olan bir noktada program akışını ele geçirmek için kullanabilir. Bu, bir saldırganın kısa süreli ağ erişimine sahip olduğu durumlarda disk şifrelemesini kırmak için kullanılabilir (ve bir hırsızlık senaryosunda çok daha kolay olurdu).

CVE-2026-97631, PXE-Base Code sürücüsündeki (NetworkPkg/UefiPxeBcDxe) 16 yaşında bir tampon aşımıdır; bu sürücü sunucuların, depolama ekipmanlarının ve diğer cihazların yerel ağdan indirilen kod kullanarak önyükleme yapmasına olanak tanır. Bu süreç—uygulama öncesi ortam önyüklemesi olarak bilinir—sürücünün ICMP hatalarını izlemek için bir ağ dinleyicisi kullanmasıyla gerçekleşir. Sürücü, 504 baytlık bir bellek kopyalama sınırını zorunlu kılmadığı için komşu verilerin üzerine yazılır; yerel ağa düşük seviyeli erişim kazanan kötü niyetli bir iç kişi veya siber saldırgan, bu sınırdan sonraya kod ekleyen bir hata mesajı gönderebilir. CPU üzerinde çalışan UEFI modülü bozulur.

Rasmi uyarının ifadesiyle:

Ağaç üzerinden önyükleme sırasında, PXE Base Code sürücüsü (NetworkPkg/UefiPxeBcDxe), ICMP hata mesajları için bir alma isteğini açık tutar ve alınan her mesajı özel bağlam yapısının sabit 504 baytlık Mode.IcmpError alanına kopyalar. Kopyalama döngüsünün sınırları, hem IPv4 hem de IPv6 işleyicilerinde (PxeBcIcmpErrorDpcHandle ve PxeBcIcmp6ErrorDpcHandle) hatalıdır: 504 bayttan uzun bir mesaj için hâlâ alana bayt kopyalar ve hedef göstericiyi parça başına uzunluk yerine kümülatif uzunluk kadar ilerletir, böylece aşırı büyük bir mesaj saldırganın kontrol ettiği baytları alanın dışına yazar. Alma yolunda mesaj uzunluğunu kısıtlayan hiçbir şey yoktur.

Bu kötü amaçlı hata, yalnızca PXE önyükleme sırasındaki gönderilmesi kaydıyla, herhangi bir ağ mesafesinden hedef cihazın IP adresine gönderilen basit bir unicast ile iletilebilir. Saldırgan, önyükleme sırasının takılmasına neden olarak hizmet dışı bırakma (denial-of-service) gerçekleştirebilir. Saldırgan, hedef yazılımın hangi derlemenin olduğu bilgisine sahipse, UEFI yazılım ortamında CPU üzerinde kötü amaçlı kodu çalıştıracak bir “sahte olay” yerleştirebilir. Kod, CPU’nun en ayrıcalıklı çalışma seviyesi olan ring 0’da çalışır. Bu açıklar, donanımın güvenli olduğunu uzak sunuculara kriptografik olarak kanıtlamayı amaçlayan doğrulama süreçlerini atlayarak, sınırlı ayrıcalıkların yükseltilmesi için önemli bir fırsat sunar.

Yeniden bir forever day

CVE-2026-97631, UEFI veya onunla yakın işbirliği yapan kodda daha önce keşfedilen uzun bir zafiyet listesine katılıyor. Bunlar arasında en ciddisi olan LogoFail, neredeyse tüm donanım üreticilerinin UEFI’sine dahil edilen logo görüntülerinden kaynaklanıyordu. İşlem hataları, saldırganların UEFI’nin uyguladığı güven zincirini bertaraf edip işletim sistemi yüklenmeden veya Secure Boot çalışmadan önce kötü amaçlı bileşenler kurmasına olanak tanıyordu. PixieFail, CVE-2026-97631’e benzer bir zafiyetti. O da EDK2’deki kusurlu PXE önyükleme açıklarının bir sonucuydu. Zafiyetin keşvedilmesinden sonra araştırmacılar, açık kaynaklı kütüphanede başka kritik açıkları ortaya çıkarmayı hedefleyen çok sayıda fuzzing projesine başladı. Bu çalışmaların, en son zafiyeti bulmada başarılı olmadığı görülüyor.

Daha yakın zamanda keşfedilen diğer UEFI açıkları şunları içeriyor:

• PKFail, üretim dışı test platformu anahtarlarından kaynaklanan bir tedarik zinciri açığı; keşfedilmelerinden daha on yıl önce halka açık hale gelen bu anahtarlar, yüzlerce cihaz modelinde kullanılıyordu
• BootHole
• Bootkit ve
• BlackLotus

CVE-2026-97631 gibi, bu yüklerin saldırıda kullanılması, saldıranların makineleri önyükleme sürecinin erken aşamalarında, TPM ve diğer savunmalar yüklenmeden önce bulaştırabildiği için çekici. CVE-2026-97631’in yaygınlığını göz önünde bulunduran Moore, bunun muhtemelen destek süresi sona eren sistemlerde ömür boyu kalacak bir “sonsuz” hatası olacağını söyledi.

Bu en son zafiyeti saldırıda kullanmanın önemli uyarıları ve sınırlamaları var. Belirtildiği gibi, yerel bir ağ üzerinde bir düzeyde kontrol, bu açığı kullanmanın ön koşuludur. Bu da muhtemelen saldırıyı, ağın içine düşük seviyeli erişim sağlamış ve sistem yetkilerini yükseltmek için bir yol arayan içseller veya devletler veya fidye yazılımı operatörleri gibi saldıranlarla sınırlıyor. CVE-2026-97631’in bir ağa ilk giriş noktası sağladığına dair henüz bir kanıt yok. Aşılması gereken başka engeller de var.

“Zafiyeti kullanmak için saldırganın hedef sistemin içinde belirli adresleri tahmin etmesi gerekir; bu nedenle tek bir exploit ile çeşitli cihazların çoğunda aynı anda RCE elde etmek mümkün değil. Her hedef modeline/sürümüne/yapilandırmasına göre ayarlanması gerekiyor, çünkü adresler bu faktörlere göre değişiyor” diye konuşuyor Eclypsium yazılım güvenliği firmasının kıdemli araştırmacısı Jesse Michael, Ars’a. “BootHole, Black Lotus ve Baton Drop gibi önceki, üst düzey dikkat çeken zafiyetlerin aksine, bu zafiyet temel bir kod düzeltmesiyle giderilebilir; bu da bir BIOS/UEFI güncellemesinin yaygınlaştırılmasını gerektirir, ancak bootloader içindeki Secure Boot atlatmalarıyla uğraşırken yaptığınız gibi iptallerle, pk/kek/db/dbx anahtar yönetimi güncellemeleriyle veya işletim sistemi ile provisioning (hazırlama) ortamlarının güncel tutulmasıyla uğraşmanız gerekmiyor.”

CVE-2026-97631 ev kullanıcılarını ve küçük ofis kullanıcılarını ya da cihazlarını yalnızca sürücülerden önyükleyen diğer tüm kullanıcıları etkilemiyor. Bunun yerine yalnızca yerel ağlardan ya da muhtemelen internete bağlı kaynaklardan önyükleme yapan makinelere sahip kuruluşları etkiliyor. Yine de hedef yazılımın, farklı bir referans uygulamasının aksine EDK2’ye dayanması ve varsayılan olarak açık gelen PXE işlevini kullanması gerekiyor.

E-postayla Intel, “güvenlik desteği altında olan ticari ürünlerimizin hiçbirinin bu zafiyetten etkileniyor olduğu bilinmiyor” dedi. “Intel, etkilenen EDK2 işlevini referans kodunda yer almaz, ancak bunu bir OEM anakart üreticisi ya da sistem üreticisi entegre etmiş olabilir” diye ekledi şirket. Müşterilere, kesin yönlendirme için sistem üreticileriyle görüşmelerini tavsiye etti. Ancak halka açık Intel referans kodu EDK2’ye atıfta bulunuyor. Buna ek olarak TianoCore, her Intel tarafından sağlanan UEFI geliştirme kütünün “EDK II kaynağının belirli bir revizyonu için tamamen doğrulanmış bir uygulama olduğunu” belirtti. Birçok başka Intel belgesi de EDK2’ye atıfta bulunuyor.

Arm, buna karşılık soruların yer aldığı bir listeye şu yanıtı verdi: “CVE-2026-97631, Arm’ın ürün portföyüne doğrudan uygulanmiyor.” Intel gibi, şirketin sağladığı yazılım da EDK2’den yoğun biçimde yararlanıyor. TianoCore, Arm’ın EDK2’ye bağımlılığını da belgeledi.

Bazı platformların EDK2 kodundan arınmış olması mümkün olsa da, tüm sunucuların kullanıcıları için CVE-2026-97631’in kendilerini etkileyip etkilemediğini araştırmak iyi bir önlem niteliği taşıyor.

AMD, Phoenix Technologies, AMI, Microsoft ve Amazon’a gönderilen sorular—muhtemelen etkilenen diğer büyük kuruluşlardan bazıları—bu yazı yayına girdiğinde yanıt bulamadı. Bu tür kuruluşların EDK2 kullanımına dair somut yanıtlar alınmadıkça, cihazların ne kadar ve nasıl etkilendiği ile bu kuruluşların ya da kullanıcılarının, eğer öyleyse, hangi adımları atması gerektiğini söylemek mümkün değil. TianoCore Project’den gelen temsilciler de yanıt vermedi.