W popularnej bazie kodu UEFI, TianoCore EDK II, wykryto krytyczną podatność o numerze CVE-2026–97631 z oceną 9,5/10. Błąd wynika z przepełnienia bufora w parserze ICMP w sterowniku PXE-Base Code (NetworkPkg/UefiPxeBcDxe). Luka pozwala na wykonanie złośliwego kodu jeszcze przed załadowaniem systemu operacyjnego, co umożliwia obejście mechanizmów Secure Boot oraz TPM.
Atak wymaga od napastnika kontroli nad siecią lokalną lub posiadania niskiego poziomu dostępu, aby zsynchronizować działania z momentem rozruchu urządzenia przez PXE. Skutkiem może być zablokowanie startu serwera lub przejęcie pełnej kontroli nad procesorem na poziomie ring 0. Problem dotyczy zarówno protokołów IPv4, jak i IPv6.
Podatność jest niezwykle istotna dla środowisk serwerowych i korporacyjnych korzystających z rozruchu sieciowego. Ponieważ EDK2 jest wykorzystywane przez wielu kluczowych dostawców, takich jak AMI, Insyde, Phoenix czy Microsoft w ramach Project Mu, poprawki muszą zostać wdrożone przez producentów sprzętu i płyt głównych.
