UEFI-Lücke: Kritischer Bug versteckt sich seit 16 Jahren in vielen Servern

Erst Mitte Oktober 2026 sorgte die Entdeckung schwerwiegender Sicherheitslücken in der weit verbreiteten Programmiersprache PHP für Aufregung. Angreifer:innen sollen die php2shell genannten Schwachstellen schon aktiv ausnutzen und versuchen, ganze Server zu kapern. Allein in Deutschland sollen vier Millionen Dienste betroffen sein.

Jetzt ist eine weitere kritische Sicherheitslücke bekannt geworden, von der ein großer Teil der Server weltweit betroffen sein soll. Dabei handelt es sich um eine Schwachstelle in EDK II, dem Open-Source-Code, der vielen UEFI-Firmwares als Basis dient. Diese Firmware ist der moderne Nachfolger von BIOS und startet beim Einschalten eines Computers als erstes, noch vor dem Betriebssystem. Laut Ars Technica setzen die meisten UEFI-Anbieter wie AMI, Insyde und Phoenix auf den Code.

Die Sicherheitslücke in EDK II (CVE-2026-97631), die auf der Schweregradskala CVSS 4.0 9,5 von 10 Punkten erreicht, befindet sich konkret im ICMP-Code des PXE-Netzwerkstarts. PXE sorgt dafür, dass Computer über ein Netzwerk statt von einer eingebauten Festplatte oder SSD starten. In Unternehmen dient diese Funktion dazu, viele Rechner zentral einzurichten oder zu warten.

Eine fehlerhafte Speicherbegrenzung bei dieser Art von Start per PXE kann es Angreifer:innen ermöglichen, eigenen Code auszuführen, bevor das Betriebssystem und Schutzmechanismen wie Secure-Boot starten. Dazu benötigen Angreifer:innen Zugang zu dem entsprechenden Netzwerk. Und: Computer, die von Festplatte oder SSD aus starten, sind nicht betroffen.

Bis ein Firmware-Update die Geräte erreicht, sollten Admins prüfen, ob Server und Netzwerkgeräte per PXE starten und ob die Firmware auf EDK II beruht, wie Dr. Web empfiehlt. Sollte PXE nicht benötigt werden, sollte die Funktion bis zu einem Update deaktiviert werden. Andernfalls sollten Admins das Bootnetz abschotten, so dass Arbeitsplatzrechner und Geräte im Gästenetz keine Pakete schicken können.

Erschwerend für die Bereinigung der schon seit 16 Jahren bestehenden Sicherheitslücke sind die offenbar unzureichend koordinierten Korrekturschritte. So wollten die Entdecker der Lücke, Alex Matrosov von Anthropic und Dan Holmes-Mitra von Google, den Fund eigentlich bis Januar 2027 geheimhalten. Allerdings ist schon Mitte Oktober 2026 eine Korrektur öffentlich einsehbar veröffentlicht worden. Diese zeigt potenziellen Angreifer:innen, wo der Fehler lag.