UEFI-Lücke: Kritischer Bug versteckt sich seit 16 Jahren in vielen Servern

Eine kritische Lücke in der Codebasis der für das Booten von Netzwerkservern verantwortlichen UEFI-Firmware kann es Angreifern ermöglichen, Schadcode auszuführen. Eine zu früh veröffentlichte Korrektur hat das Ganze noch verschlimmert.

Erst Mitte Oktober 2026 sorgte die Entdeckung schwerwiegender Sicherheitslücken in der weitverbreiteten Programmiersprache PHP für Aufregung. Angreifer sollen die php2shell genannten Schwachstellen schon aktiv ausnutzen und versuchen, ganze Server zu kapern. Allein in Deutschland sollen vier Millionen Dienste betroffen sein.

Schwachstelle in Baustein für UEFI-Firmware

Jetzt ist eine weitere kritische Sicherheitslücke bekannt geworden, von der ein großer Teil der Server weltweit betroffen sein soll. Dabei handelt es sich um eine Schwachstelle in EDK II, dem Open-Source-Code, der vielen UEFI-Firmwares als Basis dient. Diese Firmware ist der moderne Nachfolger von BIOS und startet beim Einschalten eines Computers als Erstes, noch vor dem Betriebssystem. Laut Ars Technica setzen die meisten UEFI-Anbieter wie AMI, Insyde und Phoenix auf den Code.

Die Sicherheitslücke in EDK II (CVE-2026-97631), die auf der Schweregradskala CVSS 4.0 9,5 von 10 Punkten erreicht, befindet sich konkret im ICMP-Code des PXE-Netzwerkstarts. PXE sorgt dafür, dass Computer über ein Netzwerk statt von einer eingebauten Festplatte oder SSD starten. In Unternehmen dient diese Funktion dazu, viele Rechner zentral einzurichten oder zu warten.

Nur Geräte mit PXE-Start betroffen

Eine fehlerhafte Speicherbegrenzung bei dieser Art von Start per PXE kann es Angreifern ermöglichen, eigenen Code auszuführen, bevor das Betriebssystem und Schutzmechanismen wie Secure-Boot starten. Dazu benötigen Angreifer Zugang zu dem entsprechenden Netzwerk. Und: Computer, die von Festplatte oder SSD aus starten, sind nicht betroffen.

Bis ein Firmware-Update die Geräte erreicht, sollten Admins prüfen, ob Server und Netzwerkgeräte per PXE starten und ob die Firmware auf EDK II beruht, wie Dr. Web empfiehlt. Sollte PXE nicht benötigt werden, sollte die Funktion bis zu einem Update deaktiviert werden. Andernfalls sollten Admins das Bootnetz abschotten, sodass Arbeitsplatzrechner und Geräte im Gästenetz keine Pakete schicken können.

Verfrühte Korrektur erleichtert Angriffe

Erschwerend für die Bereinigung der schon seit 16 Jahren bestehenden Sicherheitslücke sind die offenbar unzureichend koordinierten Korrekturschritte. So wollten die Entdecker der Lücke, Alex Matrosov von Anthropic und Dan Holmes-Mitra von Google, den Fund eigentlich bis Januar 2027 geheimhalten. Allerdings ist schon Mitte Oktober 2026 eine Korrektur öffentlich einsehbar veröffentlicht worden. Diese zeigt potenziellen Angreifern, wo der Fehler lag.