- 研究人员披露关键 UEFI 固件漏洞，支持在服务器上远程执行代码
- 补丁代码公开早于厂商部署更新，可能加速漏洞利用开发
- 硬件生态中固件补丁分发滞后，导致组织在修复可用后仍长期暴露于风险中
来自 Anthropic 和 Google 的网络安全研究人员发现了一个影响当今几乎所有服务器的严重启动时固件漏洞。
由于 UEFI 制造商市场高度分散，大多数服务器可能需要数月时间才能完成防护更新。这意味着网络犯罪分子拥有较长的攻击窗口期。
漏洞技术细节与危害
现代服务器普遍运行统一可扩展固件接口（UEFI），该软件内置于主板，负责设备启动及操作系统加载。UEFI 包含安全启动等功能，旨在阻止未经授权的程序在机器启动过程中运行。
TianoCore EDK II 是开发人员构建此类固件常用的免费开源工具包，作为不同类型硬件 UEFI 固件的共同基础。Anthropic 研究员 Alex Matrosov 与 Google 研究员 Dan Holmes 近期发现，EDK II 中存在一个关键的缓冲区溢出漏洞。
国家漏洞数据库（NVD）将该问题描述为 BIOS 中的错误，用户可通过远程访问触发“写出界限”、经典缓冲区溢出以及“缓冲区大小计算错误”。该漏洞被追踪为 CVE-2026-97631，严重性评分高达 9.5/10（危急级）。目前尚未观察到该漏洞在野外被实际利用，但鉴于安全界在协调披露方面的失误，这一情况可能迅速改变。
与其他 UEFI 漏洞类似，该缺陷在自然环境中极难修复。由于恶意代码可在安全解决方案或操作系统之前部署，任何反恶意软件或终端保护方案均无法检测或删除它。重装操作系统或更换硬盘驱动器也无法消除威胁。
补丁分发困境与潜在威胁
多家硬件制造商基于 EDK II 等共享代码库开发自有 UEFI。当代码中发现漏洞时，仅在代码库层面修复只是第一步；每个受影响的固件供应商必须修补自身产品并向客户分发新固件。这一过程耗时较长，在修复可用性与系统实际部署之间形成了危险的时间窗口。
谨慎处理披露至关重要，但部分参与者似乎未能履行责任。据 Ars Technica 报道，发现该错误的两位研究人员曾安排保持私密状态，然而 AMI（一家主板制造商）显然在上个月发布了提取请求，TianoCore 项目成员也发布了关于这些缺陷的公告。
对于高级黑客而言，了解漏洞触发机制并构建有效攻击载荷并非难事。数以百万计由数千个硬件制造商和云提供商使用的终端设备需要修复 UEFI 代码漏洞，这是一项繁重且耗时的任务。
尽管利用此缺陷存在门槛——威胁行为者需事先获得目标设备的某种程度访问权限——但这并不意味着风险降低。该漏洞主要可能被国家支持的威胁行为者以及大型、高度组织的黑客集体所利用。此前 PHP2Shell 漏洞也曾以类似方式被无意向公众披露，加剧了当前局势的紧迫性。
