Anthropic ve Google araştırmacıları, açık kaynaklı TianoCore EDK II çerçevesinde CVE-2026-97631 kodlu ciddi bir güvenlik açığı tespit etti. Bu açık, 10 üzerinden 9,5 puan ile değerlendirildi. Zira saldırgan, işletim sistemi yüklenmeden önce UEFI seviyesinde istedikleri kodu çalıştırma imkanına sahip. Ayrıca Secure Boot gibi koruma mekanizmaları henüz devreye girmediği için durum daha da tehlikeli hale geliyor.

UEFI, cihazın açılışı sırasında işletim sisteminden önce çalışan temel yazılımdır. Bu nedenle burada bulunan bir güvenlik zafiyeti, sistemin en alt katmanını etkileyebilir. Ancak saldırganın yerel ağa erişiminin olması gerekmektedir.

CVE-2026-97631 Nasıl İşliyor?

Açık, PXE sürücüsünün ICMP mesajlarını ele alan bölümünde yer alıyor. PXE, bir cihazın işletim sistemini diskten değil de ağ üzerinden başlatmasını sağlayan bir yöntemdir. Ağdan önyükleme sürecinde aşırı uzun bir ICMP mesajı geldiğinde sorun ortaya çıkmaktadır. Bu durum, 504 baytlık bir arabellek taşmasına yol açar.

Arabellek taşması, yani ayrılan alanın dışına veri yazılması durumu burada sürücünün bağlam yapısını aşarak gerçekleşiyor. Bunun sonucunda saldırgan, yapının dışındaki bir alana veri yazma yeteneğine sahip oluyor. Ancak hedef donanım yazılımının adres alanının kesin olarak bilinmesi gerektiği gibi zorlu bir koşul da bulunmaktadır.

Buna rağmen hazırlıklı olan bir saldırgan bu engeli aşabilir. Başarılı bir saldırı zinciri güvenliğini bozabilir ve ayrıca TPM’ye (güvenlik çipi) erişim sağlayabilir; bu da disk şifreleme anahtarlarının ifşa olma riskini doğurur.

Neden Bu Kadar Çok Sunucuyu Etkiliyor?

EDK II, UEFI’nin referans uygulaması olarak kabul edilmektedir. AMI, Insyde ve Phoenix gibi neredeyse tüm sunucu donanımı üreticileri bu çerçeveyi kullanıyorlar. Bulut hizmet sağlayıcıları da bu yapıya dayanıyorlar; dolayısıyla CVE-2026-97631 çok geniş bir etki alanına sahiptir.

Araştırmacılar koordineli açıklamayı Ocak 2027’de yapmayı planlamıştı; ancak anakart üreticisi AMI açığın detaylı tanımını ve düzeltmesini içeren bir pull request’i önceden yayımladı. Ardından TianoCore Projesi resmi bir güvenlik bildirimi (advisory) yayınladı ve böylece yamanın hazır olduğu duyuruldu. Ancak milyonlarca cihazda donanım yazılımı güncellemesi aylara yayılacak.

Kimler Risk Altında? Ne Yapılabilir?

Açık yalnızca PXE ağ yüklemesi yapan sistemleri etkilemektedir; dolayısıyla diskten önyükleme yapan ev bilgisayarları risk altında değildir. Ancak uzmanların değerlendirmelerine göre CVE-2026-97631 “ölümsüz” türünde bir açık haline gelebilir çünkü eski donanımlarda uzun süre varlığını sürdürebilir.

Yamanın yaygınlaşması beklenirken aşağıdaki geçici önlemler alınabilir:

• PXE önyüklemesini devre dışı bırakmak
• Sistem günlüklerini saldırı girişimlerine karşı izlemek

Düzeltme artık mevcut durumda; fakat güncellemelerin milyonlarca sunucuya ulaşması zaman alacaktır. Bu süreçte sistem yöneticileri üreticilerin yayımlayacağı donanım yazılımı güncellemelerini bekleyerek PXE önyüklemesini kapalı tutmayı tercih edebilirler.