「开机画面都还没看到」——这不是比喻，是刚被曝出的那个9.5分固件漏洞。
10月22日，开源UEFI代码社区TianoCore发布公告：CVE-2026-97631，CVSS 4.0评分9.5。漏洞藏在EDK II的PXE网络启动驱动里。这段代码已经在仓库里躺了16年，比大多数工程师的工龄都长。知乎IT时代网微博
原理就是一个复制循环。机器从网络启动时，固件会顺手处理ICMP错误报文（网络世界的"诊断消息"），用一个本该限制在504字节的缓冲区去装，可边界校验没做好，超长ICMP包直接引发缓冲区溢出。狠一点可以在固件里执行任意代码——而且跑在CPU的最高特权级ring 0。微博IT时代网
吓人之处在于时序：这段代码跑在操作系统加载之前、Secure Boot校验之前、TPM度量之前。评论区有人问得很直白：我盘里BitLocker加密的文件还算数吗？披露口径的回答不客气：TPM里的密钥材料可能被窃取，磁盘加密保护随之失效。有人把它类比成Switch当年那个传奇的bootrom漏洞Fusée Gelee——只不过这回不用手搓glitcher，插根网线就行。知乎微博
但普通人确实可以先安心。这枚漏洞很挑对象：攻击者得先摸进目标内网，机器得正在做PXE网络启动，想执行代码还得掐住那个短暂的启动窗口、摸清固件内存布局——纯本地磁盘启动的家用机，压根不在射程内。利用门槛高，目前也未见实际攻击案例。甚至有资深行业工程师觉得这9.5"有点过高"。微博IT时代网知乎
真正要动手的是机房。PXE批量装机本来就是服务器的日常，漏洞就藏在最顺路的环节；而且EDK II是行业参考代码，AMI、Insyde、Phoenix、微软Project Mu都在射程内。官方口径也写明，英特尔处于安全支持期内的商用产品不受影响。微博IT时代网
补丁已在10月15日合入主干，但目前没有任何stable tag带上这个修复，公告"已修复？"一栏还写着Not patched currently。知乎
更离谱的是披露过程：协同披露原定2027年1月，结果9月有AMI工程师把标题带CVE编号的修复PR直接推上了公开仓库，保密期当场作废，细节全裸。知乎微博
现在能做的自查就三件事：不用网络启动？那就在固件里直接把PXE关掉，一键绝路。机房必须跑PXE？等官方固件补丁落地，期间临时禁用PXE、盯住内网异常ICMP流量，也无需恐慌性吊销Secure Boot密钥。知乎微博
细思极恐的其实是最后一刀：2024年PixieFail之后，社区对EDK II跑过好几轮fuzzing，这一处还是漏了过去。固件就是那种十年没人敢动的代码，藏在里面的bug，都是高利贷。知乎
