Lỗ hổng thực thi mã trong firmware UEFI đe dọa hầu hết máy chủ trên Trái Đất

Chuyện gì đã xảy ra?

Một lỗ hổng mới được tìm thấy trong TianoCore EDK II, một bộ mã nguồn mở dùng để tạo phần mềm UEFI. UEFI là phần mềm chạy ngay khi máy bật lên, trước cả hệ điều hành. Lỗ hổng có mã CVE-2026-97631. Nó là lỗi làm hỏng bộ nhớ trong một thành phần ICMP, và kẻ tấn công có thể lợi dụng để chạy mã độc. Mã này chạy trước khi các biện pháp bảo vệ như Secure Boot kịp hoạt động.

Các con số và sự kiện chính

• Điểm mức độ nghiêm trọng: 9,5 trên 10.
• Gần như mọi nhà cung cấp UEFI đều dùng mã này, gồm AMI, Insyde và Phoenix.
• Hai người phát hiện là Alex Matrosov (Anthropic) và Dan Holmes (Google).
• Lịch công bố có điều phối dự kiến là tháng Một, nhưng thông tin đã lộ ra sớm.
• Lỗ hổng xuất hiện sáu ngày sau một vụ công bố lỗi khác liên quan đến ngôn ngữ PHP.

Vì sao đây là vấn đề lớn?

UEFI nằm ở đầu quá trình khởi động. Secure Boot dùng để kiểm tra rằng mọi đoạn mã khi khởi động đều đáng tin. Mã độc chạy được ở tầng này có thể đi trước các lớp bảo vệ đó. Các payload do lỗ hổng này tạo ra không tự tồn tại lâu dài, nghĩa là chúng chỉ chạy một lần. Tuy vậy, chúng có thể mở đường để cài thêm mã độc khác, và mã này sẽ chạy mỗi lần máy khởi động.

Vì sao chuyện này quan trọng?

Mã vá đã được công khai trong một yêu cầu kéo mã (pull request) của AMI trước khi thông báo chính thức. Điều này khiến những hacker giỏi có thể nhanh chóng tìm hiểu cách kích hoạt lỗi và tự viết mã tấn công. Việc vá lỗi cũng rất khó, vì phải cập nhật firmware trên hàng triệu thiết bị do nhiều hãng phần cứng và nhà cung cấp đám mây sản xuất và sử dụng.

Cần theo dõi điều gì?

• Các nhà sản xuất máy chủ và đám mây có phát hành bản vá firmware hay không.
• Những mã tấn công thực tế có xuất hiện sau khi mã vá được công khai hay không.
• Tốc độ triển khai bản vá trên các máy chủ đang chạy.