Une faille d'exécution de code dans le firmware UEFI menace la plupart des fournisseurs de serveurs et des centres de données à l'échelle mondiale

La vulnérabilité a un niveau de gravité de 9,5 sur 10

Une faille de sécurité vieille de 16 ans dans le micrologiciel UEFI permet aux pirates informatiques d'exécuter du code malveillant sur des serveurs avant même le chargement du système d'exploitation. Répertoriée sous le numéro CVE-2026-97631 et évaluée à 9,5 sur 10 en termes de gravité, cette vulnérabilité critique affecte TianoCore EDK II, le code de référence dont dérivent la plupart des firmwares UEFI des serveurs. La faille a été découverte par des chercheurs d’Anthropic et de Google avant la publication prématurée du code de correction par AMI, qui a révélé les détails de cette vulnérabilité. Les entreprises sont invitées à contacter leurs fournisseurs de matériel afin de déterminer si leurs systèmes sont vulnérables. En attendant la mise à disposition des correctifs, la désactivation temporaire du démarrage réseau PXE peut permettre d'atténuer le risque.

L'interface UEFI (Unified Extensible Firmware Interface) est une spécification relative à l'architecture du micrologiciel d'une plateforme informatique. Lorsqu'un ordinateur est mis sous tension, l'implémentation UEFI s'exécute généralement en premier, avant le chargement du système d'exploitation ou de tout autre programme. Parmi les exemples, on peut citer AMI Aptio, Phoenix SecureCore et InsydeH2O. Selon le Forum UEFI, TianoCore EDK II est l'implémentation de référence, dont les autres implémentations empruntent largement le code.

Une faille de sécurité grave dans un micrologiciel UEFI largement utilisé permet aux pirates de cibler des serveurs avant même le chargement du système d'exploitation. Cette faille, dont le niveau de gravité est évalué à 9,5, peut permettre aux attaquants d'accéder aux parties les plus sensibles d'un système. Les centres de données et les organisations qui démarrent leurs serveurs via un réseau sont particulièrement exposés à ce risque.

La vulnérabilité, référencée sous le numéro CVE-2026-97631, affecte TianoCore EDK II. Ce code open source est utilisé dans le monde entier par les fabricants de matériel serveur et les fournisseurs de micrologiciels UEFI. AMI, Insyde et Phoenix, entre autres, utilisent des composants EDK II. On ne sait pas encore exactement quels systèmes sont vulnérables.


La faille existe depuis seize ans et réside dans le logiciel qui permet aux ordinateurs de démarrer via un réseau. Cette technique, connue sous le nom de PXE, est largement utilisée dans les centres de données pour déployer et gérer les serveurs de manière centralisée.

Au cours du processus de démarrage, le micrologiciel traite, entre autres, les messages ICMP. En raison d'une erreur dans la manière dont le micrologiciel traite ces messages, les attaquants peuvent écrire dans la mémoire un volume de données supérieur à la capacité disponible. Cela provoque un débordement de tampon que les attaquants peuvent exploiter pour exécuter du code malveillant.

La vulnérabilité permet aux pirates de frapper avant même que le système d'exploitation ne démarre

Le principal danger réside dans le moment où l'attaque est lancée. Le code malveillant peut s'exécuter avant que le système d'exploitation ne soit actif et avant que les contrôles de sécurité habituels ne soient terminés.

Une attaque réussie pourrait donc permettre d'accéder à des composants sensibles du système, notamment le module TPM (Trusted Platform Module). Les pirates pourraient également installer des logiciels malveillants supplémentaires qui s'activeraient lors des séquences de démarrage suivantes.

Cela dit, cela ne signifie pas pour autant que n’importe quel serveur puisse être piraté à distance. Les pirates doivent avoir accès au réseau concerné et doivent généralement adapter leur attaque à la version du micrologiciel et à la configuration matérielle de la cible. Cette vulnérabilité présente donc un risque principalement lorsque les pirates ont déjà réussi à s’introduire dans un réseau d’entreprise.

Dans certaines circonstances, selon les chercheurs en sécurité, cette vulnérabilité peut être exploitée pour contourner les mesures de sécurité existantes ou obtenir des privilèges système élevés.

Le déploiement des correctifs pourrait s'avérer compliqué

La vulnérabilité a été découverte par des chercheurs d’Anthropic et de Google. À l’origine, ils avaient l’intention de rendre cette faille publique en janvier dernier, afin de laisser aux fabricants suffisamment de temps pour préparer des mises à jour.

Ce plan a été contrecarré lorsque le fournisseur de micrologiciels AMI a publié prématurément du code permettant de corriger le problème. En conséquence, les détails techniques de la vulnérabilité ont également été révélés. Le projet TianoCore a alors décidé de publier un avis de sécurité.

Bien que la correction de code nécessaire soit relativement simple, le déploiement des mises à jour pourrait s'avérer compliqué. De nombreux fabricants utilisent l'EDK II et doivent intégrer ces modifications individuellement dans leur micrologiciel. De plus, certains serveurs plus anciens ne bénéficient peut-être plus d'un support de sécurité.

Intel précise que, à sa connaissance, ses produits commerciaux actuellement pris en charge ne sont pas concernés. Cependant, l'entreprise n'exclut pas la possibilité que des fabricants aient intégré des composants vulnérables dans leur propre micrologiciel.

Les organisations sont invitées à se renseigner auprès de leurs fournisseurs de matériel afin de déterminer si leurs systèmes sont vulnérables. En attendant la mise à disposition de mises à jour, la désactivation temporaire du démarrage réseau PXE peut permettre d'atténuer le risque. Les systèmes qui démarrent exclusivement à partir de supports de stockage locaux ne sont pas concernés par cette vulnérabilité spécifique.

La découverte de cette faille de sécurité vieille de 16 ans rappelle que des vulnérabilités longtemps passées inaperçues sont désormais détectées en masse grâce à l’intelligence artificielle (IA), au point de saturer les équipes chargées de la revue de code. L’écosystème PHP vient d’en faire l’expérience. Ce projet open source, qui propulse environ 70 % du Web mondial, souffre d'un manque de personnel et de financement : il ne compte qu'un seul employé à temps plein, un symptôme parmi d'autres d'un problème plus profond.

Source : Description de la faille, Enregistrement CVE

Et vous ?

Quel est votre avis sur le sujet ?
Trouvez-vous le niveau de risque attribué à cette faille UEFI pertinent et justifié ?

Voir aussi :

Bootkitty, le premier kit de démarrage UEFI pour Linux, qui ne peut pas encore être utilisé, mais qui pourrait annoncer l'apparition d'un logiciel malveillant UEFI pour Linux

Kaspersky : Identification d'un troisième firmware bootkit baptisé MoonBounce, plus discret, plus persistant et plus évolué, caché dans le firmware de l'UEFI des ordinateurs

La fonctionnalité Secure Boot de Microsoft est défaillante depuis une décennie et personne ne s'en était rendu compte jusqu'à présent, cette faille expose les utilisateurs de Windows et de Linux aux bootkits