一个潜伏十六年的固件漏洞，波及全球大多数服务器

服务器开机的那几秒钟，操作系统还没加载，安全软件还没启动——一个潜伏了十六年的漏洞就藏在这段没人看的时间里。

一、发生了什么

10 月下旬，一个编号 CVE-2026-97631 的严重漏洞公开，严重程度评分 9.5（满分 10）。它不在某个品牌的服务器里，而在 TianoCore 的 EDK II——一套几乎全行业共用的开源代码，AMI、Insyde、Phoenix 这些固件厂商都拿它做底子，微软加固过的 Project Mu 也包含问题组件。漏洞出在网络启动（PXE）驱动的边界检查上：设备网络启动时会监听 ICMP 错误消息，代码把收到的消息拷进一个 504 字节的固定区域，却没检查长度，超长消息就能把攻击者控制的数据写进相邻内存。能接入目标局域网的人可借此在操作系统启动前、安全启动校验完成前执行代码，最高跑到 CPU 特权级 ring 0，甚至干扰 TPM 和磁盘加密。发现者是 Anthropic 的马特罗索夫和 Google 的研究者，原计划明年 1 月统一披露，但固件厂商 AMI 上个月的公开代码改动提前暴露了细节，TianoCore 随后在上周发布官方公告——距离另一个同样提前泄密的 PHP 漏洞事件只隔了六天，安全圈把这个秋天叫作「披露事故季」并不过分。

二、跟你有什么关系

如果你管机房，凡是用网络启动装机或维护的服务器都在排查范围；只从本地磁盘启动的机器不受影响。如果你是家庭或小办公室用户，这个漏洞与你无关。如果你买云服务，值得问一句厂商的固件更新计划。

三、怎么用

1. 先盘点：找出所有开启 PXE 或网络启动的设备，不用的直接在固件设置里关掉网络启动，这是眼下最有效的一步。
2. 问厂商：联系服务器或主板厂商确认固件是否含问题组件、何时发更新。修复本身不难——多位研究者确认这只需一次普通代码修复，不用动安全启动密钥——难的是把更新铺到几百万台设备。截至 10 月 27 日，还没有在野利用的迹象，这个窗口期正是动手的时候。
3. 补日志：在补丁到位前，盯住 DHCP、装机服务和网络里的异常请求，攻击需要在启动窗口内发消息，留痕可查。
4. 别指望安全启动：这件事发生在它验证之前，但该开还是开着，防别的。

四、三个别信的说法

评分 9.5 就是全网告急。 前提条件很硬：攻击者得先进内网，还要针对每台目标机型的内存布局单独调试。它更像内网提权放大器，不是外部入侵入口，目前也没有在野利用的证据。

打了补丁就完事。 修复代码已进主干，但多数服务器要等各自的固件厂商随 BIOS 更新下发，部分发行版的软件包当时也未同步修复，没更新前都算裸奔。

老一代漏洞的经验照搬就行。 安全启动密钥那种大动干戈的修复这里不需要，一次普通代码修复即可，别被过往几个著名固件事件的修复成本吓住而不动手。

五、一句话结论

内网不是信任区，启动前的那几秒更要设防。

信息来源

• Ars Technica：影响全球多数服务器的 UEFI 固件漏洞
• WIRED：多数服务器易受固件代码执行漏洞影响

功能与价格以官方公告为准。本文写于 2026 年 10 月 28 日。