TianoCore a publié CVE-2026-97631 dans EDK II, un kit UEFI open source utilisé par des fabricants de firmware. L’avis décrit un débordement de tampon dans le démarrage réseau PXE avant le lancement du système d’exploitation. L’exposition d’un produit dépend de son firmware et de sa configuration; cela ne signifie pas que tous les ordinateurs UEFI sont vulnérables.
Ce que TianoCore a publié
L’avis GitHub TianoCore décrit un traitement de paquets ICMP dans le code de base PXE pouvant provoquer un débordement de tampon. La faille intervient avant le démarrage du système d’exploitation, lorsque les protections habituelles de celui-ci ne sont pas encore actives.
Ars Technica, The Hacker News et TechRadar ont relayé l’avis et sa portée potentielle. Le dossier TianoCore fait référence pour les détails techniques. Le firmware livré par chaque fabricant détermine si le code concerné est présent dans un appareil.
Une exposition liée à chaque implémentation
EDK II sert de base à plusieurs projets de firmware et fabricants. Un fournisseur peut intégrer, modifier ou exclure certains composants, et activer ou désactiver le démarrage réseau. Le seul fait qu’un appareil utilise UEFI, ou qu’une gamme utilise parfois EDK II, ne confirme pas son exposition.
Le chemin vulnérable est exposé pendant le démarrage PXE en IPv4 ou IPv6. Un attaquant non authentifié capable d’envoyer un message d’erreur ICMP unicast à l’adresse IP du client peut le déclencher; TianoCore indique qu’il peut se trouver à n’importe quelle distance réseau. Les organisations doivent vérifier le modèle et le firmware exacts auprès du fabricant.
Pourquoi les failles pré-démarrage comptent
Le firmware intervient avant le système et ses outils de protection. Une exploitation réussie peut compromettre la confiance dans le démarrage ou permettre l’exécution de code à un stade privilégié. Il faut tenir compte des prérequis de l’avis: une estimation de portée potentielle n’est pas un décompte de systèmes vulnérables ou compromis.
PXE sert notamment au déploiement et à l’installation à distance. S’il n’est pas nécessaire, le désactiver supprime cette exposition. S’il est requis, filtrez si possible les messages d’erreur ICMP concernés vers les clients PXE. TianoCore indique que l’attaquant peut se trouver à n’importe quelle distance réseau; la segmentation seule peut donc ne pas empêcher ces paquets d’arriver.
Mesures pour les administrateurs
Inventoriez les modèles matériels, versions de firmware et paramètres de démarrage réseau. Consultez les avis et calendriers de mise à jour du fabricant pour CVE-2026-97631 plutôt que d’appliquer directement un correctif source EDK II à un firmware de production. Filtrez si possible les messages d’erreur ICMP concernés vers les clients PXE pendant l’évaluation des correctifs.
Pour les systèmes sensibles, documentez ceux qui démarrent par le réseau ainsi que les personnes pouvant atteindre ces segments. Testez les mises à jour du fabricant sur un groupe contrôlé et vérifiez la version du firmware après installation.
Ce qui reste à confirmer
L’avis TianoCore indique qu’EDK II master est concerné et qu’aucun correctif upstream n’est encore disponible. Il ne recense pas tous les produits dérivés qui intègrent ce code. Consultez les avis des fabricants et les versions firmware pour vérifier l’exposition et les correctifs éventuellement rétroportés; la portée potentielle ne constitue pas un inventaire des systèmes affectés.
Le lien avec Soclyde
La sécurité du firmware est distincte du stockage des mots de passe. Des identifiants uniques protègent les comptes de gestion, mais ne corrigent pas le code pré-démarrage. Soclyde conserve un coffre chiffré sur les appareils des utilisateurs plutôt que dans un coffre cloud centralisé exploité par Soclyde. Consultez notre guide sur le stockage local ou cloud des mots de passe.
À retenir
CVE-2026-97631 touche un chemin PXE d’EDK II pendant le démarrage réseau d’un appareil vulnérable qui peut recevoir un message d’erreur ICMP unicast. Vérifiez le firmware et les correctifs du fabricant; la segmentation seule peut ne pas bloquer l’attaque.
