Um bug de 16 anos no coração do firmware UEFI de servidores do mundo todo foi descoberto e classificado com a nota máxima de severidade: 9,5 de 10. A falha, identificada como CVE-2026-97631, reside no driver PXE Base Code (NetworkPkg/UefiPxeBcDxe) do TianoCore EDK II — a referência open-source que alimenta praticamente todo o firmware UEFI de servidores fabricado por AMI, Insyde, Phoenix e outros grandes fornecedores.
O que torna essa falha particularmente perigosa é onde ela executa. A exploração ocorre durante o PXE boot — o processo de inicialização pela rede —, antes que o sistema operacional carregue e antes que mecanismos como Secure Boot ou measured boot tenham verificado qualquer componente. O código malicioso roda em ring 0, o nível mais privilegiado da CPU, onde tem acesso direto ao TPM e a todos os componentes sensíveis do sistema.
A mecânica da vulnerabilidade é elegante em sua simplicidade. Durante o PXE boot, o driver mantém uma porta de recepção aberta para mensagens de erro ICMP. O código copia cada mensagem recebida para um campo fixo de 504 bytes (Mode.IcmpError) sem validação de tamanho. Um atacante autenticado na mesma rede pode enviar mensagens ICMP com mais de 504 bytes, corrompendo a memória DXE-phase e executando código arbitrário. Não precisa de credenciais, não precisa de interação do usuário — basta alcançar a máquina pela rede durante a janela de boot.
A descoberta foi creditada a Alex Matrosov, da Anthropic, e Dan Holmes-Mitra, do Google. O patch foi merged para o EDK II master em 15 de outubro de 2026 (PR #13302), mas a tag estável mais recente, edk2-stable202608 de 21 de agosto, ainda não inclui a correção. O advisory do TianoCore lista o status como "Not patched currently".
O impacto é amplo mas não universal. A maioria dos servidores modernos usa EDK II com PXE network boot para provisionamento de data centers. No entanto, máquinas que bootam exclusivamente de disco local — como a maioria dos laptops pessoais e desktops — não são afetadas. A distinção importa: data centers que fazem boot pela rede para instalar sistemas, fazer manutenção ou redimensionar infraestrutura estão na linha de fogo.
A ausência de persistence nos payloads finais é tanto um conforto quanto um sinal de preocupação. O exploit roda uma única vez e morre — mas esse primeiro vetor abre a porta para instalar bootkits persistentes que sobrevivem a reinstalações do sistema operacional. O UEFI firmware fica no chip físico da placa-mãe, inatingível por ferramentas de software convencionais. Uma vez comprometido, o firmware pode reinjectar qualquer malware no próximo boot, independentemente das mudanças no disco.
A mitigação imediata é simples mas impactante: desabilitar PXE/network boot onde não é essencial. Para administradores que dependem dessa funcionalidade para provisionamento, a espera pelo patch nas distribuições de firmware dos vendedores é o único caminho. O Debian já rastreou o CVE em seu security tracker, mas isso é classificação, não correção.
A questão que permanece é se a arquitetura do EDK II — 16 anos sem revisão de segurança formal — reflete um problema sistêmico do ecossistema de firmware. Com a computação migrando para edge, IoT e sistemas embarcados que rodam UEFI, essa é a mesma arquitetura que protege nossos data centers que também os expõe. A próxima vulnerabilidade de pre-boot provavelmente não vai esperar 16 anos para aparecer.
Fontes: pwn.watch, GitHub Advisory — TianoCore EDK II, Debian Security Tracker
✓ Fontes independentes cruzadas e verificadas antes da publicação
