UEFIの土台EDK2にPXE起動中の欠陥 起動前にコード実行の恐れ

多くのPCやサーバーのUEFIのファームウェアの土台になっている「EDK2(EDK II)」で、ネットワークから起動するPXEの最中に、認証なしで任意のコードを実行される恐れのある欠陥が公表されました。EDK2を開発するTianoCoreが2026年10月22日に勧告を出し、CVE-2026-97631の番号が付きました。深刻度はCVSS 4.0で9.5の「Critical」です。

コードが実行されるのは、OSが読み込まれる前、セキュアブートやmeasured bootがOSの部品を確かめる前の段階です。

何が起きるか

修正は開発中の版に入った、機器に届くのはこれから

直すための変更(プルリクエスト#13302)は、10月15日にEDK2の開発中の版(master)に取り込まれました。一方で、CVEの記録では、対象は最新の安定版のedk2-stable202608(2026年8月)までです。直った安定版は、10月23日の時点でまだ出ていません。勧告のページの「直った版」の欄も「今のところ無し」となっています。

EDK2は、そのまま利用者の機器に入るものではありません。UEFIのファームウェアを作る会社や、PC・サーバーのメーカーが、EDK2の修正を自社のファームウェアに取り込み、更新として出す必要があります。各メーカーの対応の予定は、10月23日の時点で見当たりません。

EDK2のPXEとネットワークの仕組みでは、2024年1月にも、9件の欠陥「PixieFail」が公表されていました。このときも、利用者に届くまでには、各メーカーのファームウェアの更新を待つ必要がありました。

影響する会社・しない会社

• 影響する: PXEのネットワーク起動を使っている会社です。OSの配布やキッティング、VDIの端末、サーバーの構築や復旧などで使われます。起動している間、同じネットワークの中から、またはICMPを届けられる場所から攻撃される恐れがあります。
• 影響する: EDK2をもとにしたUEFIのファームウェアで動くPCやサーバーを使っている会社です。多くの機器が当たりえます(当社の見立て)。メーカーのファームウェアの更新が出たら当てます。
• 影響する: 仮想化の基盤で、仮想マシンをPXEで起動している会社です。仮想マシンのUEFIのファームウェアも、EDK2をもとにしていることがあります(当社の見立て)。
• 影響しない(公表の範囲では): PXEで起動しない機器です。勧告によると、攻撃できるのはPXEで起動している間だけです。

情シスが今日やること

1. PXEを使っている環境を洗い出します。 OSの配布やキッティングの仕組み、VDIの端末、サーバーの構築、障害のときの復旧の手順で、PXEの起動を使っているかを、担当の部署と確かめます。
2. 使わない機器ではPXEを止めます。 UEFIの設定で、PXE(ネットワークからの起動)を無効にします。ディスクから起動できないときにPXEに切り替わる設定になっていないかも確かめます(当社の見立て)。
3. PXEを使うネットワークを分けます。 PXEで起動する機器は、ほかの機器や外から届く通信と分けたネットワークで起動させ、起動の時間をできるだけ短くします(当社の見立て)。
4. 機器とファームウェアの一覧を作ります。 PCとサーバーの機種、メーカー、ファームウェアの版を一覧にし、メーカーのセキュリティのお知らせを見る担当を決めます。
5. メーカーの更新を当てます。 CVE-2026-97631を直したファームウェアの更新が出たら、当てる計画を立てます。仮想化の基盤を使っているなら、その製品の更新も確かめます。