重大 9.5 急ぎ度: 早めに

EDK2のPXEドライバーに重大な欠陥、起動前に任意コード実行

UEFIファームウェアの基盤であるEDK2のPXEドライバーに、ネットワーク越しに任意のコードを実行されるおそれのある弱点が見つかりました。edk2-stable202608以前が対象で、深刻度はCVSS v4で9.5(critical)です。自社の機器がEDK2由来のファームウェアを使っているかを機器メーカーの告知で確認し、更新の準備とPXEブートが使えるネットワークの絞り込みを進めてください。

CVE-2026-97631 公開 10月23日 1:50 生成 AI で作成

急ぎ度: 早めに

深刻度は最高クラスですが、実際の攻撃での悪用は公表されておらず、ファームウェア更新には機器メーカーの提供する修正が必要なため、棚卸しと計画の着手を急ぐ段階です。

関係があるか

EDK2をもとにしたUEFI/BIOSファームウェアを搭載したサーバー、PC、仮想環境などが対象になりえます。特にPXE（ネットワークブート）を使う環境では注意が必要です。

製品	影響を受ける版	直った版
EDK2(TianoCore)	edk2-stable202608以前	修正版の版番号は現時点で明らかになっていません。GitHubのセキュリティアドバイザリで確認してください

確かめ方

1使っているサーバー、PC、仮想基盤のメーカーに、EDK2ベースのファームウェアを使っているか、このCVEの影響を受けるかを確認します。
2機器ごとのBIOS/UEFIの版と日付を一覧にし、メーカーが出す対応版と照らし合わせます。
3OS展開や機器のセットアップでPXEブートを使っているか、どのネットワークで使っているかを洗い出します。
4TianoCore公式のセキュリティアドバイザリ（GHSA-99cj-7hg9-mp4m）で、最新の対象範囲と修正の状況を確認します。

何が起きたか

オープンソースのファームウェア基盤EDK2に、ネットワークブートで使うPXEドライバーの弱点が見つかりました。この弱点を突かれると、OSが起動するよりも前の段階で、ネットワーク越しに相手が用意したコードを機器上で実行されるおそれがあります。認証は不要で、利用者の操作も要りません。

技術的には、メモリ上のバッファの大きさを誤って計算したために、確保した領域の外へ書き込んでしまう不具合です。分類はバッファオーバーフロー（CWE-120）、バッファサイズの計算誤り（CWE-131）、境界外書き込み（CWE-787）に当たります。成功した場合、機密性、完全性、可用性のすべてに大きな影響が出ると評価されています。

影響を受けるのはedk2-stable202608以前です。修正版の具体的な版番号や、どの機器メーカーがいつ更新を出すかは現時点で明らかになっていません。

攻撃の流れ

1

到達できる位置

攻撃者が、対象機器のPXEブートの通信に関われるネットワーク上の位置に入ります。
2

細工した応答

ネットワークブートの通信の中で、通常と異なる内容のデータを機器へ送ります。
3

領域外への書き込み

PXEドライバーがバッファの大きさを誤って扱い、確保した領域の外に書き込みます。
4

コード実行

OS起動前のファームウェアの段階で、任意のコードを実行されるおそれがあります。

公開されている情報をもとにした流れの例です。

どう悪用されるか

攻撃にはネットワーク経由で到達できることが前提です。認証は不要で、利用者の操作も要りません。CVSSの評価では、攻撃の成立に特定の配備条件や実行条件が必要とされています（AT:P）。ただし、その具体的な条件は公表されていません。

成功すると、OSやセキュリティ製品が動き出す前の段階で機器を乗っ取られるおそれがあります。機密性、完全性、可用性への影響はいずれも高く、評価に含まれる周辺システムへの影響も高いとされています。OS上の対策では検知しにくい点が、このタイプの弱点の厄介なところです。

実際の攻撃で悪用されたかどうかは、現時点で公表されていません。

今すぐやること

1
EDK2ベースの機器を洗い出す

サーバー、PC、仮想基盤のうち、EDK2由来のUEFIファームウェアを使う機器を機器メーカーの情報で特定します。まず、PXEブートを使う機器と、そのネットワークを優先します。
```
sudo dmidecode -s bios-version
```
2

メーカーの告知と更新を確認する

各メーカーのセキュリティ情報で、このCVEへの対応状況とファームウェア更新の提供時期を確認します。TianoCoreのアドバイザリも合わせて見ます。
3

PXEブートのネットワークを絞る

PXEブートに使うネットワークは、展開用の専用セグメントに限り、信頼できない端末や不要な経路から到達できないようにします。
4

ファームウェア更新の計画を立てる

修正版が提供され次第、検証環境で動作を確かめてから順次適用できるよう、対象台数、停止時間、作業手順を決めておきます。

すぐ更新できないとき

修正版を当てられない間は、使っていないPXEブートの無効化や、PXEが使えるネットワークの限定でリスクを下げられる可能性があります。ただし、これらがこの弱点への有効な回避策になるかは公表されていないため、機器メーカーの案内を確認してください。

背景

EDK2は、多くのPCやサーバー、仮想環境のUEFIファームウェアの土台として使われるオープンソースの実装です。ファームウェアはOSより先に動き、ハードウェアの初期化や起動を担います。ここに弱点があると、OS側の対策をすり抜けて機器を支配されるおそれがあります。

ネットワークブートの処理は、外部から届くデータを解釈する部分で、メモリ操作の誤りが起きやすい領域です。バッファの大きさの計算誤りや境界外書き込みは、古くから繰り返し問題になってきた種類の不具合です。ファームウェアは更新の機会が少なく、機器メーカー経由で修正が届くため、反映までに時間がかかりがちです。

よくある質問

Q.PXEブートを使っていなければ関係ありませんか。

A.断定はできません。弱点の場所はPXEドライバーですが、どの設定なら影響を受けないかは公表されていません。使っていない場合でも、機器メーカーの告知で対象かどうかを確認してください。

Q.すでに攻撃に使われていますか。

A.実際の攻撃での悪用は、現時点で公表されていません。ただし深刻度が高く、認証も利用者の操作も不要とされているため、情報が更新されていないか継続して確認してください。

Q.OSのアップデートで直りますか。

A.直りません。弱点はOSより前に動くファームウェアにあるため、修正は機器メーカーが提供するBIOS/UEFIの更新で行います。

まだ分かっていないこと

修正版の版番号と、各機器メーカーの更新の提供時期は明らかになっていません。
攻撃が成立するための具体的な条件（AT:Pの中身）と、実際の悪用の有無は公表されていません。

この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。

影響パッケージ

種類	パッケージ	影響を受ける版	直った版
TianoCore	EDK2	edk2-stable202608 以前	—

ディストリビューション別の修正状況

各ディストリビューションが公開している、この CVE の修正パッケージ

Debian DEBIAN-CVE-2026-97631 edk2

原文の説明取得元が公開している説明をそのまま載せています (多くは英語)。

EDK2 contains a vulnerability in BIOS where a user may cause “Out-of-bounds
Write”, Classic
Buffer Overflow, and “Incorrect Calculation of Buffer Size” by remote access. Successful exploitation of this vulnerability
can lead to arbitrary
code execution. It could also impact
Confidentiality,
Integrity,
and Availability.

出典: CVE.org (CVE Program・cvelistV5) NVD

参照URL

REDHAT Red Hat
web infosec@edk2.groups.io