W otwartym kodzie EDK II, wykorzystywanym przez większość producentów sprzętu do tworzenia oprogramowania układowego UEFI, odkryto krytyczną lukę (CVE-2026-97631) o ocenie 9.5/10. Podatność wynika z błędu przepełnienia bufora w sterowniku PXE, który obsługuje komunikaty sieciowe podczas bootowania przez sieć. Atakujący może wysłać specjalnie przygotowany komunikat ICMP, co prowadzi do nadpisania pamięci.
Skutki mogą być poważne: od zawieszenia procesu startu, po wykonanie własnego kodu jeszcze przed aktywacją Secure Boot. Choć wymaga to znajomości konkretnej wersji oprogramowania, pozwala na obejście podstawowych zabezpieczeń startupowych. Luka dotyczy głównie serwerów i urządzeń w centrach danych, które korzystają z procedury PXE.
Obecnie poprawka została zintegrowana z kodem źródłowym EDK II, ale nie pojawiła się jeszcze w żadnej stabilnej wersji dystrybuowanej przez producentów. Oznacza to, że użytkownicy muszą czekać na oficjalne aktualizacje BIOS/UEFI od swoich dostawców sprzętu lub dystrybutorów systemów, takich jak Red Hat czy SUSE.
