ช่องโหว่รันโค้ดใน UEFI กระทบเซิร์ฟเวอร์และดาต้าเซ็นเตอร์ทั่วโลก

รายงานจาก Ars Technica ระบุถึงช่องโหว่ความรุนแรงสูงระดับ 9.5 ในเฟิร์มแวร์บูตเครื่องแบบ UEFI ซึ่งอาจเปิดทางให้ผู้โจมตีรันโค้ดบนเครื่องได้ตั้งแต่ก่อนระบบปฏิบัติการเริ่มทำงาน ช่องโหว่นี้อยู่ในโค้ดของ TianoCore EDK II ซึ่งเป็นโค้ดฐานแบบโอเพนซอร์สที่ผู้ผลิตฮาร์ดแวร์และผู้ให้บริการคลาวด์จำนวนมากนำไปใช้สร้างเฟิร์มแวร์ UEFI ของตน ทำให้ขอบเขตความเสี่ยงกว้างมาก โดยเฉพาะในกลุ่มเซิร์ฟเวอร์และศูนย์ข้อมูลทั่วโลก

ช่องโหว่ดังกล่าวถูกติดตามในชื่อ CVE-2026-97631 และเป็นปัญหา memory corruption ที่อยู่ในคอมโพเนนต์เกี่ยวกับ ICMP ผู้โจมตีที่เจาะได้สำเร็จสามารถสั่งให้เครื่องประมวลผลโค้ดอันตรายก่อนที่ระบบปฏิบัติการจะเริ่มขึ้นจริง ซึ่งหมายความว่ากลไกป้องกันมาตรฐานจำนวนมากยังไม่ทันทำงาน รวมถึง Secure Boot ที่ใช้สร้างห่วงโซ่ความเชื่อถือระหว่างเฟิร์มแวร์ TPM และซอฟต์แวร์ที่โหลดระหว่างการบูต

แม้เพย์โหลดที่ส่งผ่านช่องโหว่นี้จะไม่ได้ฝังตัวถาวรในตัวมันเอง และมักทำงานได้เพียงครั้งเดียวในขั้นตอนบูต แต่ความเสี่ยงสำคัญคือผู้โจมตีสามารถใช้จุดนี้เป็นทางเข้าตั้งต้นเพื่อวางส่วนประกอบอื่นที่ฝังตัวได้ลึกกว่าเดิม ทำให้มีโอกาสสร้างการโจมตีที่กลับมาทำงานซ้ำทุกครั้งเมื่อเครื่องเริ่มบูต

บทความชี้ว่า EDK II เป็นโค้ดอ้างอิงสำคัญที่ผู้ผลิต UEFI รายใหญ่แทบทั้งหมดใช้อย่างกว้างขวาง รวมถึง AMI, Insyde และ Phoenix อีกทั้งยังมีการนำไปใช้ใน Project Mu ซึ่งเป็นเฟิร์มแวร์ฟอร์กที่ไมโครซอฟท์ดูแลเพื่อเพิ่มความแข็งแกร่งของระบบ ทำให้ปัญหานี้ไม่ใช่เพียงช่องโหว่ของผู้ผลิตรายใดรายหนึ่ง แต่เป็นความเสี่ยงเชิงระบบที่กระทบห่วงโซ่อุปทานซอฟต์แวร์ระดับโครงสร้างพื้นฐาน

ประเด็นนี้สะท้อนให้เห็นว่าเฟิร์มแวร์ระดับต่ำซึ่งมักถูกมองข้าม ยังเป็นจุดอ่อนไหวสำคัญของโครงสร้างพื้นฐานไอทีสมัยใหม่ โดยเฉพาะในยุคที่ศูนย์ข้อมูลและผู้ให้บริการคลาวด์พึ่งพาเฟิร์มแวร์มาตรฐานร่วมกันจำนวนมาก ผู้ดูแลระบบจึงต้องติดตามแพตช์จากผู้ผลิตอย่างใกล้ชิด และประเมินความเสี่ยงของเครื่องที่อาจถูกโจมตีได้ตั้งแต่ระดับก่อนบูตเครื่อง