导读
TianoCore 於台北時間 10 月 22 日公開 EDK II 網路開機驅動漏洞 CVE-2026-97631，嚴重度達 CVSS 9.5。16 年緩衝區溢位，開機瞬間失守 漏洞位於 EDK II 的 PXE Base Code 驅動（NetworkPkg/UefiPxeBcDxe）。
開源 UEFI 參考實作 EDK II 曝出 CVSS 9.5 嚴重漏洞 CVE-2026-97631，攻擊者可於 PXE 網路開機階段、在 Secure Boot 生效前執行任意程式碼；AMI、Insyde、Phoenix 等主流供應商廣泛採納，多數伺服器與資料中心韌體供應鏈受波及。
（前情提要：駭客狂「印」禮券！日本電子券平台 giftee 認賠 5.5 億日圓）
（背景補充：南韓破獲首宗 AI 輔助駭客案：32 歲自學者 44 天攻破 60 家企業，逮捕 7 人）
資安社群再度面對開機鏈信任危機。TianoCore 於台北時間 10 月 22 日公開 EDK II 網路開機驅動漏洞 CVE-2026-97631，嚴重度達 CVSS 9.5。該缺陷藏身 PXE 驅動的 ICMP 錯誤處理，可在作業系統與 Secure Boot 尚未就緒時寫入攻擊者控制的記憶體。據 Ars Technica 報導，AMI、Insyde、Phoenix 等主流 UEFI 供應商普遍採用這套參考程式碼，資料中心與雲端機房因此首當其衝。下文整理漏洞機制、影響範圍，以及廠商修補進度。
16 年緩衝區溢位，開機瞬間失守
漏洞位於 EDK II 的 PXE Base Code 驅動（NetworkPkg/UefiPxeBcDxe）。設備透過區域網路下載開機映像時，驅動會監聽 ICMP 錯誤訊息，並複製到固定 504 位元組的 Mode.IcmpError 欄位。
IPv4 與 IPv6 處理函式的邊界檢查皆有誤：超過 504 位元組的封包仍被寫入，且目標指標依累計長度前進，導致攻擊者可控位元組溢寫相鄰記憶體。官方公告指出，這可造成開機掛起，或在掌握目標韌體版本時植入偽造事件。
一旦成功，惡意程式碼會在 CPU 最高權限 ring 0、且於 Secure Boot、度量開機與 TPM 驗證之前執行。當次載荷本身不具持久性，但足以安裝每次開機皆會啟動的後續組件。
影響誰？利用並非「一鍵通殺」
受影響條件相當明確：韌體需基於 EDK II，並啟用 PXE 網路開機（預設開啟）。僅從本機硬碟開機的家庭與小型辦公室用戶，原則上不在打擊範圍。
攻擊者無需帳密，但須在 PXE 開機短暫窗口內，對目標 IP 投遞特製 ICMP 錯誤封包。因此較像已進入內網的內部人員、勒索軟體或國家級攻擊者用來提權，而非從外網直接破門的初始入口。
韌體資安公司 Eclypsium 研究員 Jesse Michael 向外媒指出，利用需猜測目標特定位址，必須依機型與組態客製，無法以單一 exploit 橫掃所有裝置。英特爾與 Arm 則分別表示，其現行安全支援產品「已知不受影響」或「非直接適用」，但 OEM 仍可能自行整合受影響程式碼。
協調披露破局，修補進度仍卡住
漏洞由 Anthropic 的 Alex Matrosov 與 Google 的 Dan Holmes-Mitra 發現，原訂 2027 年 1 月協調公開。然而 AMI 工程師於 9 月公開的拉取請求已揭露 CVE 與修補程式碼，TianoCore 只好提前於 10 月 22 日發布公告。
修補已於 10 月 15 日併入 EDK II 主開發分支（PR #13302），但截至台北時間 10 月 28 日，穩定版仍標示「Not patched currently」。Microsoft Project Mu 已先行納入修正；Red Hat、SUSE、Debian 等發行版的 edk2 套件則仍列為未修復。
與 BootHole、BlackLotus 等需撤銷金鑰的 Secure Boot 繞過不同，此洞只需基本程式碼修復並部署 BIOS／UEFI 更新。在廠商出包前，暫時關閉不必要的網路開機、監控開機階段流量與日誌，是可行的風險收斂手段。
来源：動區動趨
