Pada 22 Oktober 2026, TianoCore merilis peringatan keamanan untuk CVE-2026-97631, sebuah kerentanan buffer overflow pada driver PXE Base Code di EDK II — kode referensi terbuka yang menjadi fondasi firmware UEFI di sebagian besar server, workstation, dan mesin virtual dunia. Peringatan ini ditandai Critical dengan skor CVSS v4.0 sebesar 9,5 dari 10.
EDK II adalah implementasi referensi spesifikasi UEFI yang dikembangkan oleh TianoCore. Banyak produsen firmware — termasuk AMI, Insyde, Phoenix, dan Microsoft untuk proyek Project Mu — membangun produk mereka atas basis kode ini. Flaw itu sendiri berada di file \PxeBcSupport.c\ dalam komponen NetworkPkg/UefiPxeBcDxe, yaitu driver yang menangani boot jaringan melalui protokol PXE.
Saat sistem melakukan boot jaringan, driver tersebut tetap membuka penerimaan untuk pesan kesalahan ICMP. Setiap pesan ICMP yang masuk disalin ke dalam bidang buffer berukuran tetap 504 byte bernama \Mode.IcmpError\. Kedua handler — untuk IPv4 dan IPv6 — melakukan pengecekan batas yang salah sehingga pesan yang lebih besar tetap menulis data melewati batas buffer. Akibatnya, penyerang yang mengirimkan pesan ICMP error berukuran lebih besar dapat menuliskan byte di luar area yang dialokasikan.
Implikasi teknisnya serius. Serangan ini membutuhkan penyerang berada di jaringan yang dapat mencapai mesin target. Tidak diperlukan autentikasi atau interaksi pengguna. Tingkat kesulitan serangan dinyatakan oleh TianoCore sebagai Practical, bukan teoritis. Untuk menyebabkan denial of service, penyerang hanya perlu mengirim paket tersebut saat sistem sedang booting. Untuk eksekusi kode, penyerang harus mengetahui detail firmware build target; dengan informasi itu, dia dapat menanamkan event palsu yang mendorong eksekusi kode di fase DXE UEFI — yaitu sebelum sistem operasi dimuat dan sebelum kontrol Secure Boot atau Measured Boot sempat memeriksa apa pun.
"Window serangan yang paling berbahaya terjadi di pre-boot," jelas peringatan TianoCore. "Kode dijalankan sebelum OS atau Secure Boot memverifikasi apa pun." Untuk organisasi yang bergantung pada boot jaringan untuk server headless atau kluster komputasi, jendela eksposur itu bukan kecil: siapa pun yang menguasai segmen jaringan tersebut bisa memanfaatkannya.
Penemuan awalnya dilakukan oleh Alex Matrosov dari Anthropic dan Dan Holmes-Mitra dari Google. Keduanya menepati janji koordinasi pengungkapan yang dijadwalkan untuk Januari 2027, tetapi perencanaan terganggu ketika AMI — salah satu vendor firmware besar — mempublikasikan pull request yang merinci celah tersebut beserta koreksi kode. Setelah publikasi itu menarik perhatian, anggota TianoCore Project memutuskan untuk menerbitkan advisory publik pada 22 Oktober agar pengguna dan vendor mendapat peringatan lebih dulu.
Perbaikan kode sebenarnya sudah digabung ke dalam branch master EDK II pada 15 Oktober 2026 melalui pull request #13302. Koreksi tersebut menambahkan validasi batas yang benar pada kedua handler ICMP, memotong paket yang melebihi kapasitas buffer, serta mengosongkan buffer sebelum menyalin data baru. Unit test untuk fragmentasi IPv4 dan IPv6 juga ditambahkan.
Sayangnya, perbaikan di branch master belum berarti sistem Anda sudah aman. Per Oktober 2026, belum ada rilis stabil EDK II yang memuat koreksi tersebut. Distribusi Linux besar-besaran masih menandai paket EDK II mereka sebagai terdampak dan belum diperbaiki. Hetzner, misalnya, telah memperingatkan bahwa sistem pelanggan yang berjalan dalam mode UEFI dan menggunakan boot jaringan berpotensi terdampak. Vendor firmware seperti AMI, Insyde, dan Phoenix belum mengumumkan pembaruan BIOS/UEFI spesifik untuk konsumen atau server.
Tidak ada laporan resmi tentang eksploitasi aktif atau proof-of-concept publik per tanggal ini. CISA juga belum menambahkan CVE-2026-97631 ke dalam katalog Known Exploited Vulnerabilities. Namun Ars Technica dan beberapa analis keamanan menyoroti bahwa kerentanan ini mengancam sebagian besar infrastruktur server global, terutama pusat data dan penyedia cloud yang masih mempertahankan kemampuan PXE di lingkungan produksi.
Mitigasi sementara yang bisa dilakukan sekarang adalah menonaktifkan PXE boot pada sistem yang tidak membutuhkannya, terutama server, workstation, dan lingkungan virtualisasi. Bagi perangkat yang memang harus boot dari jaringan, administrator diharapkan memantau pembaruan firmware dari vendor perangkat keras masing-masing dan mengujinya di lingkungan staging sebelum diterapkan ke produksi. Cek juga konfigurasi firewall di segmen boot network untuk memblokir atau memeriksa pesan ICMP error yang tidak diharapkan.
CVE-2026-97631 mengingatkan kembali bahwa lapisan firmware — yang sering diabaikan karena berada di bawah sistem operasi — bisa menjadi titik masuk kritis. Ketika patch upstream tersedia tetapi belum tersebar ke firmware vendor, tanggung jawab mitigasi jatuh ke tangan administrator infrastruktur. Matikan fitur yang tidak Anda butuhkan, pantau saluran keamanan vendor, dan jangan mengandalkan Secure Boot sebagai lapisan pertahanan di titik ini: di fase pre-boot, kontrol itu belum sempat berjalan.
Sumber TianoCore Advisory GHSA-99cj-7hg9-mp4m; CVE Record CVE-2026-97631 (CVE.org); Ars Technica — "Code-execution flaw in UEFI firmware threatens most servers on planet Earth"; Pulse — "Pulse October 2026"; Threadlinqs Threat Intelligence TL-2026-4579.