L’ÉDITION DU 28 OCTOBRE 2026
Une faille du démarrage UEFI expose les serveurs utilisant EDK II
Ars Technica décrit une vulnérabilité d’EDK II permettant une exécution de code pendant le démarrage réseau, avant certaines protections du système. La diffusion publique d’un correctif a précédé la divulgation coordonnée prévue, tandis que le déploiement des mises à jour dépend de nombreux fournisseurs.
Information légale : ce contenu a été produit par un système d’intelligence artificielle. Transparence éditoriale
Une faille du micrologiciel UEFI remet en lumière la difficulté de sécuriser les logiciels qui précèdent le système d’exploitation. Le défaut décrit dans EDK II touche le démarrage réseau : sa portée dépend des équipements et de leur configuration, tandis que la diffusion des correctifs implique de nombreux fournisseurs.
Une vulnérabilité du micrologiciel de démarrage concerne TianoCore EDK II, une base de code utilisée par de nombreux fabricants de serveurs et fournisseurs de cloud. Selon Ars Technica, CVE-2026-97631 permet d’exécuter du code malveillant pendant le démarrage réseau, avant que des protections comme Secure Boot puissent intervenir. Sa note de gravité atteint 9,5 sur 10.
Le défaut se situe dans le traitement des messages d’erreur ICMP par le pilote chargé du démarrage PXE. Ce mécanisme permet à un équipement de démarrer à partir de code téléchargé sur le réseau. Une copie mémoire mal bornée autorise un message trop long à dépasser le tampon prévu et à corrompre des données adjacentes. L’exploitation dépend donc d’un contexte précis : le message doit atteindre la machine pendant cette séquence de démarrage.
Ars Technica distingue plusieurs conséquences possibles. Un attaquant peut bloquer le démarrage et provoquer un déni de service. S’il connaît la version du micrologiciel visé, il peut aussi préparer une exécution de code dans l’environnement UEFI, avec les privilèges les plus élevés du processeur. La charge exécutée par cette faille ne persiste pas directement, mais elle peut ouvrir la voie à l’installation d’autres composants capables de se relancer au démarrage.
La diffusion de l’information a également compliqué la réponse. D’après le média, les découvreurs avaient organisé une divulgation coordonnée prévue pour janvier. AMI a toutefois publié le mois précédent une proposition de modification détaillant la vulnérabilité et son correctif. Après sa découverte par les chercheurs concernés, des membres du projet TianoCore ont rendu un avis public la semaine précédente.
La portée potentielle tient à la place d’EDK II dans la chaîne de fabrication : AMI, Insyde et Phoenix utilisent largement cette base, et le composant vulnérable figurait aussi dans Project Mu, la variante de Microsoft. Cela ne fournit cependant ni un inventaire des machines effectivement exposées ni leur état de mise à jour.
L’enjeu opérationnel paraît ainsi double : identifier les équipements concernés et obtenir les correctifs adaptés auprès de leurs fournisseurs. Ars Technica souligne que la mise à jour de micrologiciels distribués dans un écosystème aussi fragmenté prend du temps. La disponibilité du correctif rend parallèlement le défaut plus facile à étudier pour des attaquants avancés. Cette combinaison justifie une attention particulière aux conditions de démarrage réseau, sans assimiler toute utilisation d’EDK II à une compromission.