Lỗ hổng thực thi mã trong firmware UEFI ảnh hưởng phần lớn máy chủ toàn cầu
"A critical memory corruption vulnerability (CVE-2026-97631) exists in the TianoCore EDK II UEFI firmware, affecting most servers. The flaw resides in the ICMP component of the PXE-Base Code driver, allowing attackers to execute code before OS and firmware defenses are active. Mitigation involves patching UEFI firmware, a complex and time-consuming process."
Lỗ hổng UEFI cho phép thực thi mã độc trước các cơ chế bảo mật, có thể dẫn đến mất kiểm soát hệ thống.
Việc vá lỗi UEFI có thể gây gián đoạn dịch vụ và tốn kém. Các doanh nghiệp cần đánh giá rủi ro và lập kế hoạch cập nhật cẩn thận.
Cloudflare vừa công bố lỗ hổng thực thi mã (CVE-2026-97631) trong firmware UEFI TianoCore EDK II, ảnh hưởng đến hầu hết các máy chủ. Lỗ hổng nằm trong thành phần ICMP của driver PXE-Base Code, cho phép kẻ tấn công thực thi mã trước khi các cơ chế bảo vệ của hệ điều hành và firmware hoạt động.
Việc vá lỗi này đòi hỏi cập nhật firmware UEFI, một quá trình phức tạp và tốn thời gian. Điều này đặc biệt quan trọng với các trung tâm dữ liệu và doanh nghiệp Việt Nam đang sử dụng các máy chủ dựa trên kiến trúc này.
Lỗ hổng này có mức độ nghiêm trọng 9.5/10. Nó cho phép kẻ tấn công thực thi mã độc trước khi các cơ chế bảo mật như Secure Boot (thiết lập chuỗi tin cậy cho toàn bộ mã khởi động) và Trusted Platform Module (TPM) được kích hoạt. Mặc dù mã độc chỉ chạy một lần, nó có thể tạo điều kiện cài đặt các payload khác cũng chạy mỗi khi hệ thống khởi động.
Alex Matrosov (Anthropic) và Dan Holmes (Google) đã phát hiện ra lỗ hổng này và dự kiến công bố vào tháng 1. Tuy nhiên, một pull request chứa bản vá lỗi đã được công bố trên GitHub vào tháng trước, dẫn đến việc TianoCore Project phát hành cảnh báo công khai.
HD Moore, người sáng tạo Metasploit, nhận định lỗ hổng này ảnh hưởng đến chuỗi tin cậy và hệ sinh thái bảo mật. Kẻ tấn công có thể lợi dụng để chiếm quyền điều khiển chương trình ở giai đoạn khởi động, thậm chí phá vỡ mã hóa ổ đĩa nếu có quyền truy cập mạng tạm thời. Lỗ hổng CVE-2026-97631 là lỗi tràn bộ đệm 16 năm tuổi trong driver PXE-Base Code, cho phép máy chủ khởi động qua mạng. Kẻ tấn công có thể gửi tin nhắn ICMP quá lớn, ghi đè dữ liệu và làm hỏng module UEFI.
Lỗ hổng này tương tự PixieFail, một lỗi PXE boot trước đó trong EDK2. Các nhà nghiên cứu đang tiếp tục tìm kiếm các lỗ hổng khác trong thư viện mã nguồn mở này.
Câu hỏi thường gặp
CVE-2026-97631 là gì?
Đây là lỗ hổng thực thi mã trong firmware UEFI TianoCore EDK II, cho phép kẻ tấn công thực thi mã độc trước khi hệ điều hành và firmware có thể áp dụng các biện pháp bảo mật.
Lỗ hổng này ảnh hưởng đến những hệ thống nào?
Lỗ hổng này ảnh hưởng đến hầu hết các máy chủ trên toàn cầu sử dụng firmware UEFI TianoCore EDK II. Các máy chủ khởi động qua mạng (PXE boot) đặc biệt dễ bị tấn công.
Cách khắc phục lỗ hổng này là gì?
Cách khắc phục chính là cập nhật firmware UEFI lên phiên bản mới nhất. Tuy nhiên, quá trình này có thể phức tạp và tốn thời gian.
Góc nhìn cộng đồng
Tổng hợp từ thảo luận công khai. Chỉ những ý có link nguồn. Không thêm ý kiến khi không tìm thấy.
- Hacker NewsDamnInteresting
Một số người dùng cho rằng việc khai thác lỗ hổng này có những hạn chế nhất định. Kẻ tấn công cần kiểm soát một phần mạng cục bộ, có thể giới hạn việc khai thác vào những người có quyền truy cập mạng cấp thấp như các quốc gia hoặc các nhóm ransomware.
Xem thảo luận ➔ - Hacker Newssaidnooneever
Nhiều người dùng chỉ ra rằng không phải tất cả các firmware đều biên dịch thành phần ICMP này. EDK2 chỉ đóng gói các thành phần thực sự được sử dụng. Một số người cho rằng việc có quyền truy cập mạng để tấn công ICMP có thể đủ để thực hiện các cuộc tấn công khác, chẳng hạn như MITM (Man-in-the-Middle) hoặc thay thế hình ảnh khởi động.
Xem thảo luận ➔
Góc nhìn của Orange Cloud
Theo chúng tôi, lỗ hổng này đặc biệt đáng lo ngại đối với các doanh nghiệp Việt Nam sử dụng cơ sở hạ tầng máy chủ lớn. Việc vá lỗi UEFI có thể gây gián đoạn dịch vụ, vì vậy cần lên kế hoạch cẩn thận. Các doanh nghiệp nên kiểm tra xem hệ thống của họ có bị ảnh hưởng hay không và bắt đầu chuẩn bị cho việc vá lỗi. Điều đáng chú ý là lỗ hổng này có thể cho phép kẻ tấn công vượt qua các cơ chế bảo mật hiện có, làm tăng nguy cơ tấn công chuỗi cung ứng.