Vulnerabilidad crítica en UEFI deja expuestos millones de servidores a código malicioso antes del arranque
Se ha identificado un fallo grave en el firmware de código abierto EDK II, catalogado como CVE-2026-97631, que afecta al controlador responsable del arranque por red (PXE). La vulnerabilidad ha obtenido una puntuación de 9.5 sobre 10 en la escala CVSS v4, lo que la sitúa en la categoría de crítica. Su impacto potencial alcanza a millones de servidores en todo el mundo.
El problema reside concretamente en el paquete NetworkPkg del repositorio principal de EDK II, en versiones anteriores al 14 de septiembre de 2026. Dado que EDK II sirve como base de referencia para que los fabricantes construyan su propio firmware UEFI, el alcance del fallo se extiende más allá de los servidores: también pueden verse afectados ordenadores de sobremesa y portátiles que realicen arranques a través de la red.
Aunque ya existe una corrección integrada en el código público, la página oficial del aviso sigue indicando que el parche no está disponible. El motivo es que ahora corresponde a cada fabricante incorporar esa corrección en sus propias actualizaciones de firmware, un proceso que habitualmente requiere bastante más tiempo.
Desde el punto de vista técnico, durante un arranque PXE el controlador UefiPxeBcDxe procesa los mensajes de error ICMP entrantes y los copia en un campo de tamaño fijo de 504 bytes. El problema está en que la verificación de tamaños falla tanto en las rutas IPv4 como en las de IPv6: si el mensaje supera ese límite, la copia continúa igualmente. Además, el desplazamiento de escritura se calcula usando la longitud total acumulada en lugar de la longitud del fragmento actual, por lo que los datos controlados por el atacante acaban escribiéndose más allá del espacio reservado. No existe ningún mecanismo en la ruta de recepción que restrinja el tamaño del mensaje.
Para explotar el fallo no se necesita ningún tipo de autenticación ni interacción por parte del usuario. Basta con enviar un mensaje de error ICMP a la dirección IP del cliente mientras este lleva a cabo el arranque PXE. El mensaje puede originarse desde cualquier punto de la red y la ventana de exposición se prolonga durante todo el tiempo que dure dicho arranque.
Las consecuencias pueden manifestarse de dos formas distintas. La más directa es un fallo completo del sistema: un mensaje ICMP malformado provoca una excepción en la CPU dentro del núcleo DXE, bloqueando el arranque y, con ello, instalaciones del sistema operativo o procesos de recuperación. El escenario más peligroso exige mayor conocimiento técnico: un atacante que conozca con exactitud la compilación del firmware puede introducir un evento falso en el mismo paquete, logrando que el firmware ejecute su código con el máximo nivel de privilegio y antes de que mecanismos como Secure Boot o el arranque medido hayan tenido oportunidad de verificar nada.
Consulta el aviso completo sobre CVE-2026-97631
CVE-2026-97631: Desbordamiento de búfer en el controlador PXE de EDK II expone millones de servidores a ejecución de código pre-arranque
Resumen técnico
El fallo CVE-2026-97631 afecta al paquete NetworkPkg del firmware de referencia EDK II hasta el 14 de septiembre de 2026. El controlador UefiPxeBcDxe gestiona mensajes de error ICMP durante el arranque PXE copiándolos en un campo fijo de 504 bytes sin validar correctamente la longitud, ni en la pila IPv4 ni en IPv6. Mensajes superiores a ese límite desbordan el búfer. La puntuación CVSS v4 es 9.5. No requiere autenticación ni interacción del usuario. El parche está integrado en el repositorio público, pero pendiente de implementación por fabricantes.
Análisis de implicaciones
El desbordamiento ocurre en la fase DXE (Driver Execution Environment), antes de que Secure Boot o el arranque medido comprueben ningún binario. Un atacante con conocimiento exacto de la compilación del firmware puede escribir bytes controlados más allá del campo y plantar un evento falso que el firmware ejecuta con el nivel de privilegio más alto disponible. Esto invalida completamente los modelos de confianza basados en arranque seguro. La ventana de exposición dura todo el proceso de arranque PXE, sin necesidad de acceso local ni credenciales.
Aplicación práctica
Los equipos de seguridad deben auditar de forma inmediata qué servidores arrancan mediante PXE en sus redes. La mitigación prioritaria es deshabilitar el arranque PXE en sistemas que no lo requieran desde la configuración UEFI. Donde sea necesario, segmentar el tráfico ICMP a nivel de red y monitorizar paquetes ICMP anómalos dirigidos a clientes durante el arranque. Aplicar las actualizaciones de firmware tan pronto como los fabricantes —AMI, Phoenix, Insyde— publiquen sus versiones parcheadas. Establecer alertas sobre arranques PXE fallidos repetidos como indicador de intento de explotación.
Contexto del sector
EDK II es la base de referencia del firmware UEFI utilizada por la mayoría de fabricantes de hardware del mercado, lo que convierte este fallo en un problema de cadena de suministro de firmware. El ciclo de parcheo en firmware es significativamente más lento que en software convencional, dejando sistemas expuestos durante meses. Este vector pre-arranque se suma a vulnerabilidades anteriores como LogoFAIL o PixieFail, consolidando el firmware UEFI como superficie crítica de ataque en infraestructuras empresariales.
