Proyek TianoCore, pengembang kode firmware UEFI sumber terbuka EDK II, menerbitkan advisori untuk CVE-2026-97631 pada 22 Oktober 2026. Celah ini berupa buffer overflow di driver PXE Base Code (NetworkPkg/UefiPxeBcDxe) dan diberi skor CVSS 4.0 sebesar 9,5 oleh TianoCore sendiri. Hingga 28 Oktober, laporan yang kami baca tidak menyebut adanya eksploitasi di dunia nyata, dan celah ini belum masuk katalog KEV milik CISA.
Bagaimana celah ini bekerja
Saat sebuah mesin melakukan boot lewat jaringan, driver ini menyalin pesan galat ICMP ke sebuah bidang berukuran 504 byte. Pemeriksaan batasnya keliru, baik di IPv4 maupun IPv6. Penyerang tanpa login yang bisa mengirim pesan galat ICMP ke mesin selama proses boot jaringan dapat membuat boot macet. Jika penyerang tahu persis build firmware yang dipakai, ia berpotensi menjalankan kode pada fase DXE sebelum sistem operasi, Secure Boot, dan boot terukur sempat memeriksa apa pun.
Penemunya adalah Alex Matrosov dari Anthropic dan Dan Holmes-Mitra dari Google, menurut kredit di advisori TianoCore. Karena EDK II menjadi dasar firmware dari AMI, Insyde, dan Phoenix, serta firmware OVMF untuk mesin virtual UEFI, cakupannya luas. Penilaian lain lebih rendah: Red Hat dan SUSE sama-sama memberi CVSS 3.1 sebesar 8,8 dan menilai penyerang harus berada di jaringan yang berdekatan. Thomas-Krenn menambahkan bahwa penyerang juga perlu mengetahui alamat memori yang khusus untuk tiap versi firmware.
Versi terdampak dan status perbaikan
Menurut advisori yang dirujuk Rescana, semua versi EDK II hingga edk2-stable202608 terdampak. Belum ada rilis stabil yang memuat perbaikan. Kodenya digabung ke cabang master pada 15 Oktober 2026 lewat PR 13302, setelah PR 13200 yang pertama kali tampil publik pada 28 September. TianoCore menyatakan pada 27 Oktober bahwa embargo tanpa sengaja bocor, menurut Rescana.
Di sisi distribusi, Red Hat (RHEL 8, 9, 10 dan OpenShift 4) menyatakan terdampak tanpa perbaikan, SUSE memasang status tertunda untuk paket ovmf, dan Debian belum menambal. Fedora 43, 44, dan 45 sudah punya build perbaikan sejak 26 Oktober, tetapi masih tahap pengujian. NixOS disebut sudah memasukkan tambalan ke nixpkgs. Rescana tidak menemukan advisori dari vendor BIOS atau perangkat keras, dan paket distribusi tadi hanya menutup firmware mesin virtual, bukan server fisik.
Langkah yang perlu diambil pengelola server
TianoCore tidak mencantumkan solusi sementara. Panduan yang beredar di sumber kami adalah mematikan PXE di mesin yang tidak memakainya, memisahkan jaringan provisioning, menyaring pesan galat ICMP masuk di tepi jaringan tersebut, dan memasang pembaruan BIOS atau UEFI begitu produsen merilisnya. Mesin yang boot dari disk lokal tidak memakai driver ini. Jika PXE berada di urutan boot sebelum disk atau menjadi cadangan, jendela serangan terbuka setiap kali mesin menyala ulang, jadi merapikan urutan boot mengurangi risikonya. Pantau halaman unduhan produsen server Anda, karena belum satu pun yang kami temukan merilis BIOS perbaikan.
Bagi tim infrastruktur di Indonesia yang memakai PXE untuk instalasi massal atau pusat data, prioritasnya sederhana: petakan mesin yang boot lewat jaringan, batasi siapa yang bisa mengirim lalu lintas ke segmen itu, dan siapkan jadwal pembaruan firmware begitu tersedia. Satu catatan sumber: laporan Thomas-Krenn menyebut kebocoran pada 26 Oktober, sedangkan advisori resminya bertanggal 22 Oktober.
Sumber: IT-Connect, Rescana, Thomas-Krenn. Gambar: IT-Connect.