Server, una falla nel firmware espone l’avvio da rete

La vulnerabilità CVE-2026-97631 riguarda EDK II: la correzione nel progetto deve arrivare agli aggiornamenti dei produttori.

Una vulnerabilità critica nel firmware EDK II richiama l’attenzione sulla sicurezza dei server durante l’avvio da rete. Identificata come CVE-2026-97631, interessa un componente utilizzato nella costruzione di firmware UEFI. L’avviso del progetto TianoCore assegna un punteggio CVSS 4.0 di 9,5 su 10. Il rischio riguarda una fase precedente al caricamento del sistema operativo, quando le sue normali difese non sono ancora disponibili.

L’esposizione richiede condizioni specifiche. La macchina deve avviarsi tramite PXE, il meccanismo che recupera dalla rete le risorse necessarie all’accensione del sistema, e deve ricevere determinati messaggi ICMP durante questa fase. Il difetto coinvolge la gestione della memoria nei percorsi IPv4 e IPv6. Può provocare il blocco dell’avvio oppure consentire l’esecuzione di codice nel contesto del firmware. Il punteggio elevato non dimostra che ogni server sia raggiungibile o vulnerabile.

La distinzione è essenziale per valutare l’urgenza degli interventi: la presenza di componenti EDK II, la versione incorporata, le funzioni abilitate e la raggiungibilità della rete di avvio determinano il perimetro concreto. L’analisi dell’avviso indica che la finestra di esposizione coincide con l’avvio PXE. Secure Boot non sostituisce la correzione di questo difetto, perché l’esecuzione può avvenire prima della verifica dei componenti del sistema operativo.

Nel repository ufficiale, la modifica correttiva numero 13302 risulta integrata il 15 ottobre 2026. Introduce controlli sui limiti dei buffer e corregge il calcolo delle posizioni di copia, accompagnando l’intervento con test dedicati. L’esistenza della modifica nel progetto di riferimento non certifica però che ogni apparato installato disponga già del relativo aggiornamento: il codice deve essere recepito e distribuito nella filiera del firmware.

Sul piano operativo, ne deriva la necessità di associare l’inventario dei server alle versioni BIOS o UEFI e alle indicazioni del rispettivo produttore. Per ogni famiglia di dispositivi occorre distinguere la disponibilità della correzione dalla sua effettiva installazione. La valutazione dell’avvio da rete riguarda anche le procedure di ripristino: disabilitarlo senza verificare come viene utilizzato potrebbe compromettere attività di manutenzione. Il piano di intervento deve quindi considerare esposizione, dipendenze operative e possibilità di aggiornamento. L’avviso non fornisce un elenco completo dei modelli commerciali coinvolti.