« Un bug éternel » : cette faille critique se cache dans le démarrage de la plupart des serveurs du monde, et la corriger relève du casse-tête

Une vulnérabilité critique dans EDK2, le code sur lequel repose le démarrage de l’immense majorité des serveurs, permet d’exécuter du code avant même le système d’exploitation. Son exploitation reste exigeante, mais sa correction s’annonce (très) longue.

C’est une faille notée 9,5 sur 10 en gravité, qui pourrait survivre indéfiniment tant elle est enfouie profondément dans les machines.

Son doux nom ? CVE-2026-97631. Révélée le 22 octobre 2026, elle se loge dans le firmware de la plupart des serveurs, sous le système d’exploitation, dans des couches logicielles que personne ne voit jamais.

Interrogé par le site américain Ars Technica, HD Moore, directeur de la recherche chez Dragos, une entreprise spécialisée dans la sécurité des infrastructures industrielles, la qualifie déjà de « bug éternel ».

Code-Execution Flaw In UEFI Firmware Threatens Most Servers On Planet Earth https://t.co/WvGxuM9LdA

— Slashdot (@slashdot) October 27, 2026

Ce contenu est bloqué car vous n’avez pas accepté les cookies et autres traceurs. Ce contenu est fourni par Twitter.
Pour pouvoir le visualiser, vous devez accepter l’usage étant opéré par Twitter avec vos données qui pourront être utilisées pour les finalités suivantes : vous permettre de visualiser et de partager des contenus avec des médias sociaux, favoriser le développement et l’amélioration des produits d’Humanoid et de ses partenaires, vous afficher des publicités personnalisées par rapport à votre profil et activité, vous définir un profil publicitaire personnalisé, mesurer la performance des publicités et du contenu de ce site et mesurer l’audience de ce site (en savoir plus)

En cliquant sur « J’accepte tout », vous consentez aux finalités susmentionnées pour l’ensemble des cookies et autres traceurs déposés par Humanoid et .

Vous gardez la possibilité de retirer votre consentement à tout moment. Pour plus d’informations, nous vous invitons à prendre connaissance de notre Politique cookies.

Le logiciel qui démarre avant tout le reste

L’attaque se joue dans un laps de temps très réduit, pratiquement à l’instant où notre doigt lâche le bouton d’allumage. Quand on allume un serveur, le système d’exploitation n’est pas le premier programme à se lancer. Avant lui s’exécute le firmware, un logiciel stocké sur une puce de la carte mère, qui vérifie le matériel puis passe la main au système.

Et votre vie numérique devient sereine

Bitdefender Premium Security est une solution de cybersécurité européenne qui vous protège automatiquement contre les pirates et toutes les menaces du web. Profitez de vos activités en ligne en toute tranquillité

Sur les machines modernes, ce firmware suit une norme appelée UEFI. La plupart des fabricants le construisent à partir d’une même base de code open source, EDK2, que les grands fournisseurs du secteur comme AMI, Insyde ou Phoenix utilisent abondamment. Jusque-là, rien de compliqué.

Sauf que dans les centres de données, les serveurs ne démarrent pas toujours depuis leur disque. Pour installer des centaines de machines sans intervenir sur chacune, les administrateurs utilisent le démarrage réseau, ou PXE, qui permet à un serveur de récupérer sur le réseau local le code dont il a besoin. Et c’est dans ce mécanisme, activé par défaut, que se loge la faille.

Pendant ce démarrage réseau, le firmware range les messages d’erreur qu’il reçoit dans un espace mémoire de 504 octets. Le code chargé de cette copie ne vérifie pas correctement leur taille, si bien qu’un message trop long déborde et écrase les données voisines.

En envoyant un message forgé au bon moment, un attaquant peut ainsi faire exécuter ses propres instructions avec le plus haut niveau de privilège du processeur. Ce code s’exécute avant Secure Boot, le mécanisme censé vérifier la légitimité de tout ce qui se charge au démarrage. Or, comme le souligne HD Moore, la machine a encore accès à ce stade à des composants sensibles comme la puce TPM, qui conserve notamment les clés de chiffrement des disques.

Une menace réelle, mais circonscrite

Si le code injecté ne survit pas à un redémarrage, il peut toutefois servir à installer d’autres programmes malveillants qui, eux, se relanceront à chaque démarrage.

Reste que l’attaque suppose d’avoir déjà accès au réseau local de la cible, ce qui la réserve à un employé malveillant ou à un attaquant déjà infiltré cherchant à étendre ses droits. Elle doit en outre être ajustée à chaque modèle et à chaque version de firmware.

Le correctif disponible tient en quelques lignes, mais c’est bien son déploiement qui risque de poser problème. Il devra passer des fournisseurs de firmware aux fabricants de serveurs, puis à chaque administrateur, chargé de mettre à jour le BIOS de ses machines.

Les entreprises sont invitées à interroger le fabricant de leur firmware et, si possible, à désactiver le démarrage réseau. Sur les serveurs qui ne recevront plus jamais de mise à jour, la faille restera ouverte, d’où ce « bug éternel ».

Toute l'actu tech en un clin d'œil

Ajoutez Numerama à votre écran d'accueil et restez connectés au futur !