EDK II’nin ağdan başlatma bileşeninde ortaya çıkan CVE-2026-97631, işletim sistemi henüz yüklenmeden saldırıya açık bir pencere oluşturuyor. Ancak bu ayrıntıyı bütün UEFI bilgisayarların her an uzaktan ele geçirilebildiği şeklinde yorumlamamak gerekiyor. Açığın devreye girmesi için sistemin IPv4 veya IPv6 üzerinden PXE ile ağdan başlatılıyor olması gerekiyor.
TianoCore’un güvenlik duyurusu, sorunu kritik olarak sınıflandırıyor ve CVSS 4.0 ölçeğinde 9,5 puan veriyor. Etkilenen kod, 14 Eylül 2026 itibarıyla EDK II ana geliştirme dalındaki NetworkPkg bileşeni olarak belirtiliyor. Bu ifade tek başına bütün üreticilerin bütün bilgisayar modellerini kapsayan bir liste oluşturmuyor.
PXE, bir bilgisayarın açılışta gerekli yazılımı ağ üzerinden almasına olanak tanıyor. Kurumsal kurulum, bakım ve kurtarma süreçlerinde bu yöntem kullanılabiliyor. Açık da bu başlangıç aşamasında gelen belirli ağ iletilerinin bellekte hatalı işlenmesinden kaynaklanıyor. Sonuç, açılışın durması veya uygun koşullarda işletim sisteminden önce kod çalıştırılması olabiliyor.
Buradaki zamanlama önemli. Güvenlik duyurusu, işlemin Secure Boot’un işletim sistemi bileşenlerini doğruladığı aşamadan önce gerçekleşebildiğini belirtiyor. Dolayısıyla yalnızca işletim sistemi açıldıktan sonra çalışan güvenlik yazılımına bakmak, bu bileşenin durumunu değerlendirmek için yeterli değil.
Ağdan başlatma kullanmayan sistemlerle kurumsal PXE ortamlarını ayırmak gerekiyor
Red Hat’in güvenlik kaydı da maruz kalma koşulunu PXE başlangıcıyla ilişkilendiriyor. Yerel depolama üzerinden olağan biçimde başlatılan bir makineyle ağdan kurulum yapan sunucunun durumu bu nedenle aynı değil. İşletim sistemi normal çalışırken açığın sürekli aynı biçimde kullanılabildiğini söylemek, duyurunun belirttiği sınırları aşar.
Kurumsal ekipler için önce hangi makinelerin ve sanal makine şablonlarının ağdan başlatma kullandığını belirlemek gerekiyor. Ardından sunucu veya bilgisayar üreticisinin kendi ürününe ilişkin güvenlik bildirimini ve aygıt yazılımı güncellemesini takip etmek anlamlı. EDK II ortak bir temel olduğu için uygulanacak güncellemenin dağıtımı ürün sağlayıcısına göre değişebiliyor.
Düzeltme 15 Ekim’de EDK II ana koduna eklendi. Bununla birlikte güvenlik sayfasının yamalanmış sürümler alanı henüz belirli bir sürüm numarası vermiyor. Bu nedenle yalnızca bir kod değişikliğinin bulunmasını bütün sunucuların güncellendiği şeklinde okumamak gerekiyor. Öncelik, kullanılan gerçek ürün ve ağdan başlatma yapılandırması için üretici doğrulamasını almak.
Günün Öne Çıkan Fırsatları
