Google и Anthropic нашли уязвимость CVE-2026-97631 в загрузчиках UEFI большинства ПК
Исследователи Google и Anthropic сообщили о серьезной уязвимости CVE-2026-97631 в большинстве реализаций загрузчика UEFI, которые установлены в современных ПК. Ошибка приводит к повреждению памяти и в отдельных случаях позволяет выполнить произвольный код с максимальными привилегиями.
Главное в цифрах
- Идентификатор уязвимости: CVE-2026-97631
- Размер уязвимого буфера: 504 байта
- Срок существования ошибки в коде: 16 лет
Уязвимость с идентификатором CVE-2026-97631 затрагивает код драйвера, который присутствует в загрузчиках UEFI практически во всех современных ПК. Ошибка в этом коде существует уже 16 лет.
У проблемы есть важное ограничение: эксплуатировать её можно только при загрузке компьютера по сети.
Как работает уязвимость
Во время сетевой загрузки загрузчик принимает сообщения об ошибках по протоколу ICMP и записывает их в буфер фиксированного размера 504 байта. Отправив специально подготовленное сообщение, атакующий может записать данные за пределы этого буфера.
В итоге вредоносный код получает выполнение с максимальными привилегиями задолго до старта операционной системы. Это делает угрозу особенно неприятной для организаций, которые используют сетевую загрузку.
