CVE-2026-97631 : une faille UEFI critique exploitable via un simple paquet ICMP lors du démarrage PXE

Le projet TianoCore a publié le 22 octobre 2026 un bulletin de sécurité révélant une faille critique (CVE-2026-97631, score CVSS 4.0 de 9,5/10) dans EDK II, l'implémentation open source de la spécification UEFI utilisée par les principaux fournisseurs de firmware — AMI, Insyde, Phoenix — ainsi que par Project Mu de Microsoft. La vulnérabilité, découverte par Alex Matrosov (Anthropic) et Dan Holmes-Mitra (Google), réside dans le pilote PXE Base Code (NetworkPkg/UefiPxeBcDxe), qui gère le démarrage réseau depuis plus de seize ans.

Exploitation avant Secure Boot

Pendant la phase de démarrage PXE, le pilote maintient une requête de réception ouverte pour les messages d'erreur ICMP (IPv4 et IPv6) et les copie dans un champ fixe de 504 octets nommé Mode.IcmpError. La gestion des bornes est défaillante dans les deux gestionnaires (PxeBcIcmpErrorDpcHandle et PxeBcIcmp6ErrorDpcHandle) : un message plus long est intégralement copié, et le pointeur de destination avance de la longueur cumulée et non par fragment. Un attaquant capable d'injecter des paquets ICMP sur le réseau local pendant la fenêtre de démarrage PXE peut ainsi déborder la mémoire, corrompre le module UEFI en phase DXE et exécuter du code arbitraire au niveau de privilège maximal (ring 0) avant que Secure Boot ou le démarrage mesuré n'aient vérifié le moindre composant du système d'exploitation. L'attaque ne nécessite aucune authentification et contourne les mécanismes d'attestation matérielle.

Correctif disponible mais déploiement en attente

Le correctif a été intégré au dépôt EDK II dès le 15 octobre 2026 via la pull request 13302, ouverte le 28 septembre par Michael D. Kinney, l'un des mainteneurs du projet. Toutefois, le bulletin de TianoCore ne mentionne toujours aucune version corrigée : le patch doit désormais être repris par chaque fournisseur de firmware, puis par chaque constructeur, avant d'atteindre les machines sous forme de mise à jour BIOS/UEFI. Côté virtualisation, le firmware OVMF des machines virtuelles UEFI progresse plus vite : NixOS a déjà intégré le correctif et Red Hat indique travailler à une mise à jour.

Fenêtre d'attaque limitée au démarrage réseau

L'exploitation ne est possible que durant la phase de démarrage PXE, qui ne dure que quelques secondes. Les serveurs démarrant directement sur leur disque local ne passent pas par ce pilote vulnérable, sauf si l'ordre de démarrage place le PXE avant le disque ou en solution de repli — une configuration courante dans les environnements de centres de données. Dans ce cas, la fenêtre d'exposition se rouvre à chaque redémarrage.