Ne oldu?
Dünyanın dört bir yanındaki savunma ekipleri, bu kez önyükleme sırasında çalışan yazılımda (firmware) ortaya çıkan bir kod çalıştırma açığıyla uğraşıyor. Açık, 10 üzerinden 9,5 şiddet derecesiyle kayda geçti ve CVE-2026-97631 olarak takip ediliyor.
Nerede bulunuyor?
Sorun, donanım üreticileri ve bulut sağlayıcılarının UEFI yazılımı üretmek için kullandığı açık kaynak TianoCore EDK II kod tabanındaki ICMP bileşeninde. UEFI Forum'un geçen yıl EDK2'yi UEFI spesifikasyonunun "önde gelen uygulaması" olarak tanımladığı belirtiliyor. AMI, Insyde ve Phoenix gibi neredeyse tüm UEFI tedarikçileri bu referans kodu yoğun biçimde kullanıyor; Microsoft'un sertleştirilmiş EDK2 çatalı Project Mu da açığı içeren bileşeni kullanmış.
Risk neden büyük?
Açık, saldırganların işletim sistemi ve Secure Boot gibi savunmalar devreye girmeden önce kötü amaçlı kod çalıştırmasına olanak tanıyor. Secure Boot, önyükleme sırasında yüklenen tüm kod için güven zinciri kuruyor; TPM de bu zincirin parçası. Açık üzerinden gelen ilk yükün kalıcılığı yok, yani yalnızca bir kez çalışıyor. Ancak bu ilk yük, her önyüklemede erken aşamada çalışan başka yüklerin kurulmasına geniş bir kapı açabiliyor.
Ne yapılmalı?
Sunucu ve veri merkezi işleten kurumların UEFI tedarikçilerinin yayınlayacağı yamaları yakından izlemesi gerekiyor. Açığın önyükleme zincirinin en alt katmanında yer alması, geleneksel işletim sistemi düzeyindeki güvenlik araçlarının bu tür saldırıları göremeyebileceği anlamına geliyor.
