UEFI脆弱性、世界中のサーバーに深刻な影響
原題: Code-execution flaw in UEFI firmware affects most servers on planet Earth
なぜ重要か
ブート前段階での任意コード実行は通常の防御策を無効化できるため、クラウドを含む企業インフラ全体のサプライチェーンセキュリティに直結する問題だ。
2026年10月27日、TianoCore EDK IIのICMPコンポーネントに深刻度9.5/10のメモリ破損脆弱性（CVE-2026-97631）が公開された。AMI・Insyde・Phoenixなど事実上すべてのUEFI供給元が同コードを使用しており、世界中のサーバーおよびデータセンターが影響を受ける。Anthropicのアレックス・マトロソフ氏とGoogleのダン・ホームズ氏が発見した。
問題の脆弱性はオープンソースのUEFIリファレンス実装「TianoCore EDK II」のICMPパーサーに存在するメモリ破損バグだ。CVE-2026-97631として追跡されており、深刻度は10点満点中9.5と評価されている。
EDK IIはUEFIフォーラムが「UEFIの最重要実装」と位置づけるコードベースで、AMI・Insyde・PhoenixといったIBV（独立BIOSベンダー）が広く利用する。MicrosoftのEDK2フォーク「Project Mu」も脆弱なコンポーネントを含んでいたとされる。
攻撃者はこの脆弱性を悪用することで、OSや Secure Boot・TPMなどのセキュリティ機能が有効化される前のブートプロセスの段階で任意コードを実行できる。最終ペイロードは永続化しないものの、その後さらにブート時に繰り返し起動する別のペイロードを仕込む足がかりとなり得る。
本来、発見者のAnthropicとGoogleは1月の協調開示まで情報を秘匿する予定だった。しかしAMIが先月、修正コードを含むプルリクエストを公開してしまい、それに気づいたTianoCoreプロジェクトが先週、公式アドバイザリを公開するに至った。パッチコードが公開された今、高度な攻撃者がエクスプロイトを作成するのは容易だ。
Metasploitの作者でDragosの最高研究責任者を務めるHD Moore氏はこう指摘する。「攻撃者は、ブートプロセスがTPMなどの機密コンポーネントにアクセスできる段階でプログラムの実行を乗っ取れる。短時間のネットワークアクセスがあればディスク暗号化を破れる可能性があり、デバイスの盗難シナリオではさらに容易だ」。
問題を一層複雑にするのが、パッチ適用の難しさだ。数千の製造業者・クラウド事業者が出荷した数百万台のデバイスに対してUEFIの更新を適用するのは、時間もコストもかかる。さらに、PHPの重大な脆弱性の開示騒動から6日後の公開であり、業界全体の開示プロセスへの不信感が高まっている。