نشر مشروع TianoCore، المطور لحزمة EDK II مفتوحة المصدر لبناء برامج UEFI الثابتة، إرشاداً أمنياً عن ثغرة حرجة تحمل المعرف (CVE-2026-97631 بتقييم CVSS عند 9.5) في مشغل الإقلاع عبر الشبكة (PXE). وصف المشروع الثغرة بأنها تتيح لمهاجم دون مصادقة تنفيذ كود عن بعد قبل تحميل نظام التشغيل، بشرط معرفة إصدار البرنامج الثابت المستهدف بدقة، وذلك قبل أن يتحقق Secure Boot أو القياس الموثوق للإقلاع من أي مكون.
يقع الخلل في مشغل UefiPxeBcDxe ضمن حزمة NetworkPkg، حيث يترك المشغل طلب استقبال مفتوحاً لرسائل الخطأ ICMP أثناء الإقلاع عبر الشبكة، وينسخ كل رسالة إلى حقل ثابت بحجم 504 بايت. تخطئ دالتا المعالجة في بروتوكولي IPv4 وIPv6 في فحص الحدود بحسب الإرشاد، وتستمران في نسخ الرسائل التي تتجاوز 504 بايت. يتقدم موضع الكتابة بالطول التراكمي عوضاً عن طول القطعة الحالية، لتصل بايتات يتحكم بها المهاجم إلى ما بعد الحقل، في غياب أي محدد لطول الرسالة ضمن مسار الاستقبال. تصنف الثغرة ضمن الأنواع CWE-120 وCWE-131 وCWE-787.
لا يتطلب الهجوم أي مصادقة أو تدخل من المستخدم، ويكتفي المهاجم بإيصال رسالة خطأ ICMP موجهة إلى عنوان الجهاز أثناء إقلاعه عبر الشبكة من أي مسافة في الشبكة، لتبقى نافذة التعرض مفتوحة طوال مدة الإقلاع.
يحدد الإرشاد أثرين رئيسيين للثغرة، يتمثل الأول في تلف حتمي لبيانات المشغل واستثناء في المعالج داخل نواة مرحلة DXE عند رسالة الخطأ التالية، ليتجمد الإقلاع ويتعطل تثبيت النظام واسترداده. يتجلى الأثر الثاني في قدرة المهاجم العارف بإصدار البرنامج الثابت بدقة على زرع حدث مزيف في الحزمة، لتنفذ النواة بايتات من اختياره في مرحلة DXE بأعلى صلاحية قبل تفعيل أي ضوابط أمنية في نظام التشغيل.
دُمج الإصلاح في المستودع العام بتاريخ 15 أكتوبر 2026 عبر طلب الدمج 13302، ليضيف فحوصاً للحدود ويصحح حساب الموضع، ويقطع الرسائل الطويلة عند امتلاء المخزن. يمسح التحديث المخزن قبل كل عملية نسخ لمنع بقاء بايتات من رسائل سابقة، مع تضمين اختبارات وحدة تفشل قبل التعديل وتنجح بعده. يحدد الإرشاد الإصدارات المتأثرة بنسخة EDK II الرئيسية كما كانت في 14 سبتمبر 2026، ويكتب في خانة الإصدارات المصلحة عبارة تشير إلى عدم وجود إصلاح حالي.
نقل مستودع mu_basecore التابع لشركة Microsoft الإصلاح إلى فرع الإصدار 202511 عبر طلب بدأ في 22 أكتوبر وجرى دمجه في 23 أكتوبر مع الإشارة للثغرة برقمها. لا يحدد الإرشاد المنتجات أو مصنعي الأجهزة المتأثرين، ولم يذكر أي استغلال فعلي أو حل مؤقت.
ينسب الإرشاد اكتشاف الخلل وتقديم الإصلاح إلى الباحثين Alex Matrosov من Anthropic وDan Holmes-Mitra من Google. ذكر jkmathews، ناشر الإرشاد، في تعليق على طلب الدمج أن التكتم قبل الإعلان انكسر بالخطأ نتيجة نشر الطلب علناً، مؤكداً أن الإبلاغ عبر إرشادات GitHub الأمنية الخاصة يظل الطريق المعتمد رغم تراكم البلاغات لدى الفريق.
لا تعد هذه الحادثة الأولى التي تطال حزمة الشبكة في المشروع ذاته، إذ كشفت Quarkslab في 16 يناير 2024 عن تسع ثغرات أطلقت عليها اسم PixieFail في حزمة الشبكة IPv6 ضمن EDK II، وأكدت حينها قدرة المهاجمين دون مصادقة على الشبكة المحلية، وفي حالات محددة من شبكات بعيدة، على استغلالها.
