CVE-2026-97631 permite ejecutar código antes del sistema en equipos que arrancan por PXE
Una vulnerabilidad crítica del driver PXE de EDK II puede corromper memoria y ejecutar código durante el arranque de red. El riesgo se limita a firmware basado en EDK II mientras el equipo está arrancando por PXE; todavía no hay una versión corregida en el proyecto.
CVE-2026-97631 afecta al driver PXE de EDK II, una base de firmware que muchos fabricantes integran en implementaciones UEFI. El fallo puede corromper memoria y, en condiciones concretas, ejecutar código durante el arranque de red, antes de que cargue el sistema operativo. No afecta por igual a “la mayoría de servidores”: el equipo debe usar firmware derivado de EDK II y estar arrancando por PXE cuando recibe el paquete preparado.
La vulnerabilidad está en la ruta que procesa mensajes ICMP mientras el driver PXE mantiene abierta una recepción de errores de red. El advisory describe un campo fijo de 504 bytes y un control de límites incorrecto en los manejadores IPv4 e IPv6: un mensaje más largo puede escribir fuera de ese campo. El proyecto asigna una severidad crítica de 9,5; no es una prueba de explotación generalizada ni una confirmación de ataques en producción.
-InfraCrew dice: el firmware rara vez aparece en el inventario hasta que un paquete inesperado decide que también quiere administrar la memoria.-
El momento del arranque cambia el impacto
La ventana de ataque es estrecha y concreta: la máquina debe estar en proceso de arranque PXE y el atacante necesita poder enviarle un mensaje de error ICMP dirigido a su IP. El advisory confirma que ese requisito de arranque está presente, aunque no exige autenticación ni interacción del usuario. Una interrupción del flujo puede colgar el arranque y dejar sin completar un aprovisionamiento o una recuperación.
La ejecución de código tiene una condición adicional que conviene no borrar del titular: según TianoCore, quien conozca la compilación de firmware del objetivo puede construir un paquete que dispare el despacho de datos controlados por el atacante en la fase DXE. Ars Technica sitúa ahí la preocupación: ese código corre con privilegios de firmware antes de que arranquen Secure Boot y las defensas del sistema operativo. Eso eleva el impacto potencial, pero no convierte la vulnerabilidad en un acceso remoto universal a cualquier servidor.
-InfraCrew dice: “preboot” describe el reloj de la máquina, no una categoría de parche que el equipo de firmware vaya a resolver por arte de magia.-
Qué puede hacer hoy el equipo de infraestructura
No hay una versión corregida publicada en EDK II a la hora de redactar; además, las distribuciones de firmware dependen de cada fabricante y pueden incorporar ramas o cambios propios. La ficha upstream identifica como afectado el estado de EDK II master a 14 de septiembre de 2026, pero eso no permite deducir desde una lista de modelos qué servidores están expuestos. Hay que confirmar con el proveedor del equipo qué base usa su UEFI y cuándo ofrecerá una actualización.
La primera tarea práctica es localizar dónde se usa arranque de red: plantillas de aprovisionamiento, nodos de reemplazo, sistemas de recuperación y laboratorios suelen conservar PXE aunque el uso diario sea desde disco. Si una plataforma no necesita esa ruta, puede valorarse deshabilitar temporalmente el arranque de red conforme a la guía del fabricante; hacerlo a ciegas puede romper reinstalaciones o recuperación fuera de banda. En las VLAN de aprovisionamiento, restringir quién puede alcanzar los equipos y vigilar intentos anómalos reduce exposición, pero no corrige el firmware.
La cadena de confianza no desaparece, pero tampoco basta por sí sola: el advisory y el análisis técnico subrayan que el código puede ejecutarse antes de las comprobaciones de Secure Boot y del arranque medido. Por eso conviene anotar modelo, versión UEFI, configuración de PXE y responsable OEM en el mismo inventario, y revisar el aviso de firmware de cada fabricante. No hay base para afirmar qué proveedores han publicado ya una corrección ni para recomendar una actualización genérica.
-InfraCrew dice: en el inventario de activos, “arranca por red a veces” merece un campo propio; la memoria del equipo humano no es un CMDB.-
Diccionario de la Crew
- EDK II — Implementación de referencia de UEFI mantenida por TianoCore y usada como base por fabricantes de firmware.
- PXE — Arranque de un equipo desde una red, normalmente para instalar o recuperar un sistema.
- UEFI — Especificación de firmware que inicializa la plataforma y entrega el control al cargador del sistema operativo.
- ICMP — Protocolo de control de Internet que transporta, entre otros mensajes, errores de entrega de red.
- DXE — Fase de ejecución de controladores UEFI previa a la transferencia al cargador del sistema operativo.
- Secure Boot — Mecanismo UEFI que valida firmas de componentes de arranque; no impide por sí solo este fallo en el driver anterior al sistema operativo.
