Se ha detectado un fallo crítico en el firmware de código abierto EDK II (CVE-2026-97631), específicamente en el controlador de arranque por red (PXE). Esta vulnerabilidad, con una puntuación CVSS v4 de 9.5, permite que un atacante remoto ejecute código en una máquina antes de que el sistema operativo se inicie, lo que podría exponer a millones de servidores.

Un error crítico en el firmware de código abierto EDK II permite que un atacante remoto ejecute código en una máquina antes de que el sistema operativo se inicie. El fallo está registrado como CVE-2026-97631. Se encuentra en el controlador de arranque de red (PXE) y ha recibido una puntuación CVSS v4 de 9.5.

El aviso menciona el paquete NetworkPkg en el maestro de EDK II hasta el 14 de septiembre de 2026. EDK II es el código de referencia que muchos fabricantes de firmware utilizan para construir el firmware UEFI, por lo que el error puede afectar a servidores, computadoras de escritorio y portátiles que arrancan a través de una red.

Vulnerabilidad de UEFI sin parche

La página del aviso todavía dice “Actualmente no está parcheado”, aunque ya se ha integrado una corrección en el código público. Ahora los proveedores deben implementar esa corrección en sus propias actualizaciones de firmware, lo que generalmente lleva mucho más tiempo.

Durante un arranque PXE, el controlador llamado UefiPxeBcDxe escucha los mensajes de error ICMP de la red. Copia cada mensaje en un campo fijo de 504 bytes. El código de copia verifica mal los tamaños tanto en los controladores IPv4 como IPv6. Para un mensaje superior a 504 bytes, continúa copiando de todos modos. También desplaza la posición de escritura hacia adelante según la longitud total acumulada en lugar de la longitud de la pieza actual. Por lo tanto, los bytes controlados por el atacante aterrizan más allá del final del campo. Nada en la ruta de recepción limita el tamaño del mensaje.

El atacante no necesita inicio de sesión ni acción del usuario. Solo tiene que enviar un mensaje de error ICMP dirigido a la dirección IP del cliente mientras este está realizando el arranque PXE. El mensaje puede provenir de cualquier distancia en la red. La ventana de exposición dura lo mismo que el arranque PXE.

El daño se presenta de dos formas. La más simple es un fallo del sistema. El siguiente error ICMP provoca una excepción de CPU dentro del núcleo DXE y el arranque se congela. Esto bloquea las instalaciones del sistema operativo y la recuperación. La forma más grave requiere más conocimientos. Un atacante que conozca la compilación exacta del firmware puede plantar un evento falso en el mismo paquete. Entonces, el firmware ejecuta los bytes del atacante al nivel de privilegio más alto, antes de que el Secure Boot o el arranque medido comprueben cualquier cosa.

Los servidores corren el mayor riesgo porque los centros de datos a menudo dependen de PXE para instalar y reconstruir máquinas en masa. Las herramientas que se ejecutan en cada ciclo de reprovisionamiento dan a los atacantes oportunidades repetidas de atacar.

Fallos de seguridad de UEFI

El descubrimiento se suma a una serie de fallos de seguridad de firmware que involucran el código de arranque de red, claves de firma confiables e incluso las imágenes que se muestran cuando una computadora se inicia. Estos fallos tienen diferentes puntos de entrada, pero comparten una preocupación: los atacantes pueden dirigirse al código que se ejecuta antes de que las defensas normales del sistema operativo tomen el control.

Un ejemplo es PKfail, un problema de la cadena de suministro de firmware causado por fabricantes de dispositivos que envían productos con claves de plataforma (Platform Keys) de prueba que nunca deberían haber sido confiables en producción. Estas claves ayudan a controlar la cadena de confianza del Secure Boot.

Un atacante que obtenga la clave privada correspondiente puede usarla para reemplazar la configuración de arranque confiable y permitir que se ejecute software malicioso a pesar de que el Secure Boot esté habilitado. Anteriormente se informó sobre cómo PKfail afectó a más de 200 modelos de dispositivos, mientras que el aviso de CERT/CC explica el riesgo de malware persistente en los sistemas afectados.

Otro ejemplo, LogoFAIL, expuso debilidades en el código que lee las imágenes del logotipo del fabricante durante el inicio. Una imagen especialmente diseñada podría provocar la ejecución de código durante la fase del Entorno de Ejecución de Controladores, o DXE. Esta es la misma etapa temprana del firmware atacada por el fallo PXE recién revelado, aunque el método de entrega es diferente. Como se detalló en la cobertura de LogoFAIL, los errores afectaron al código de lectura de imágenes utilizado por varios proveedores de firmware.

PixieFail ofrece una comparación aún más cercana. Revelado en enero de 2024, involucraba nueve fallos en la pila de red IPv6 de TianoCore EDK II. Esas debilidades afectaban a las operaciones de arranque de red utilizadas en centros de datos y entornos empresariales.

La solución es la solicitud de extracción (pull request) 13302. Añade comprobaciones de límites adecuadas y corrige la aritmética de punteros. Los mensajes ICMP excesivamente grandes ahora se cortan una vez que el búfer está lleno. El parche también limpia el búfer antes de cada copia, para que no permanezcan bytes obsoletos de un error anterior. Añade pruebas unitarias que fallaban antes del cambio y pasan después de este. Los mantenedores lo integraron el 15 de octubre de 2026.

La integración fue pública días antes de que apareciera el aviso el 22 de octubre. Un mantenedor admitió más tarde que el embargo se rompió por error y que la solicitud de extracción se abrió públicamente. Pidió a los reporteros que siguieran utilizando los avisos privados de GitHub para la divulgación coordinada. También dijo que existe un acumulado de informes. El aviso acredita a Alex Matrosov de Anthropic y a Dan Holmes-Mitra de Google por encontrar el error y proponer la solución.

Pregunta a tus proveedores de servidores y firmware cuándo enviarán una actualización con esta corrección. Hasta entonces, limita la exposición manteniendo el tráfico de arranque PXE en redes de provisionamiento aisladas. Bloquea los mensajes de error ICMP inesperados dirigidos a las máquinas que están arrancando y desactiva PXE en los sistemas que no lo necesiten. Los equipos también deberían revisar la guía de Secure Boot de CISA y la NSA para pasos de endurecimiento más amplios.