要点
- 多くの PC やサーバーのファームウェア（電源を入れて最初に動く土台のソフト）が元にしているオープンソースのコード「EDK II」に、深刻な欠陥が見つかった。
- ネットワークから OS を読み込む「PXE 起動」の最中に、細工した通信を1つ受け取ると起動が止まり、相手のファームウェアの版を知っている攻撃者なら、OS より前の段階でコードを実行できるおそれがある。
- 開発元の修正は開発中の版に入ったが、安定版はまだ出ていない。機械に入れるには、ファームウェアのメーカーがそれをもとにした更新を出すのを待つ必要がある。
何が起きたか
EDK II を管理する TianoCore は、10月22日に advisory（脆弱性のお知らせ）GHSA-99cj-7hg9-mp4m を出した。番号は CVE-2026-97631 で、TianoCore は深刻度を 10点満点の 9.5（Critical）としている。
欠陥があるのは、PXE 起動を受け持つ部品だ。PXE 起動は、機械がディスクではなくネットワーク上のサーバーから OS を読み込む仕組みで、データセンターで多くのサーバーをまとめて準備するときによく使われる。
advisory によると、この部品は、ネットワークから届くエラーの知らせ（ICMP エラー）を、504バイトの決まった大きさの置き場にコピーする。ところが、大きさの計算がまちがっていて、長い知らせが来ると置き場からあふれ、まわりのメモリを書きかえてしまう。IPv4 と IPv6 の両方で同じ問題がある。
TianoCore が挙げる影響は2つだ。
- 起動が止まる。
- 対象のファームウェアの版を知っている攻撃者なら、OS が動く前の段階で、自分のコードを動かせる。
OS より前に動くコードは、OS のウイルス対策ソフトからは見えにくい。advisory は、攻撃に必要なのは PXE 起動の間に、その機械あてのエラーの知らせを1つ届けることだとしている。パスワードも、利用者の操作もいらない。
一方で、条件もある。危ないのは PXE 起動をしている間だけだ。Red Hat と SUSE は、攻撃者が同じネットワークの中にいる必要があるという見方で、深刻度を 8.8 としている。
欠陥のあるコードは古い。報道によると、2010年11月のコードから入っていて、16年近く見つからなかったとされる。見つけたのは、advisory によると Alex Matrosov 氏（Anthropic）と Dan Holmes-Mitra 氏（Google）だ。
日本の利用者への影響
EDK II は、多くのメーカーがファームウェアを作るときの土台だ。日本で売られているサーバーや PC も、ネットワーク起動の部品をそのまま使っていれば当たりうる。ただし、どの製品が当たるかは、メーカーごとに確かめる必要がある。
仮想マシンも関係する。Linux で仮想マシンを動かすときの起動用ファームウェア（OVMF など）も EDK II から作られている。Red Hat、SUSE、Debian は、自分たちの edk2 や ovmf のパッケージを「影響あり・修正まだ」としている。
今すぐやること
- 自分のサーバーや仮想マシンが PXE 起動を使っているかを、運用の担当者に確かめる。使っていなければ、危険はぐっと小さい。
- PXE 起動が要らない機械では、ファームウェアの設定でネットワーク起動を切る。Ars Technica の記事も、できれば一時的にでもネットワーク起動を切ることを考えるよう勧めている。
- PXE 起動を使うネットワークは、ほかのネットワークから切りはなし、知らない機器がつながらないようにする。
- サーバーのメーカーに、この欠陥（CVE-2026-97631）に当たるか、ファームウェアの更新をいつ出すかを問い合わせる。更新が出たら予定を立てて当てる。
- Linux で仮想マシンを動かしているなら、使っているディストリビューションの edk2・ovmf の更新を見張り、出たら当てる。
背景
UEFI のネットワーク起動の部品は、前にも狙われた。2024年1月には「PixieFail」という名前で、同じ EDK II のネットワーク部品に9つの欠陥が見つかっている。
ファームウェアの欠陥は、直るまでに時間がかかる。EDK II が直っても、それを取りこんだ AMI、Insyde、Phoenix などのファームウェアの会社が直し、さらにサーバーのメーカーが自社向けの更新を作り、最後に運用する人が当てる。この流れの、どこかで止まりやすい。
今回は、公開の順番にも乱れがあった。修正の提案は9月28日に、CVE 番号つきで誰でも見られる場所に出た。advisory が出たのはその後の10月22日だ。報道によると、本来は2027年1月に公表する予定だったとされる。いまは修正の中身が公開されているので、それをもとに攻撃を考える人が出るおそれを指摘する声もある。
10月28日の時点で、悪用されたという報告はない。米国 CISA の「悪用が確認された脆弱性」の一覧にも入っていない。
技術者向けの詳細
- 対象:
NetworkPkg/UefiPxeBcDxe（PXE Base Code driver）。Mode.IcmpError（504バイト）へのコピーで、累積の長さでポインタを進めてしまう（advisory による）。 - CWE: CWE-120 / CWE-131 / CWE-787
- CVSS: TianoCore は v4.0 で 9.5（
AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H）。Red Hat と SUSE は v3.1 で 8.8（AV:A）。 - 影響する版: advisory は「EDK II master as of 2026-09-14」。報道では edk2-stable202608 までとされる。
- 修正: PR #13302（10月15日に master へマージ、commit
fa789071）。大きすぎる ICMP エラーを切り詰め、コピー前に置き場を0で消す。元の提案は PR #13200（9月28日）。修正を含む安定版のタグはまだない。advisory の「Patched versions」は「Not patched currently」。 - advisory に回避策（workaround）の記載はない。
- ディストリビューション:
- 報道によると、Microsoft の Project Mu は修正をリリース用のブランチに取りこみ、10月26日にタグつきのビルドを出したとされる。Intel は、サポート中の自社製品に影響は知られていないとし、Arm は自社製品には直接当たらないとしたとされる（いずれも一次情報は未確認）。
- 自分の Linux ホストに該当パッケージがあるかの確認例:
rpm -qa | grep -Ei 'edk2|ovmf' # RHEL / SUSE
dpkg -l | grep -Ei 'edk2|ovmf' # Debian / Ubuntu
- 物理サーバーは、BMC やファームウェアの設定画面で、ネットワーク起動（PXE / Network Stack）が有効かを確かめる。