كشف باحثون أمنيون عن ثغرة حرجة في مشروع EDK II، وهو الإطار مفتوح المصدر الذي تعتمد عليه الغالبية العظمى من الشركات المصنعة للأجهزة في تطوير برمجيات UEFI الثابتة، ما يثير مخاوف واسعة بشأن أمن الخوادم ومعدات مراكز البيانات التي تعتمد على الإقلاع عبر الشبكة (PXE Boot).
وتحمل الثغرة المعرّف CVE-2026-97631 وحصلت على درجة خطورة مرتفعة بلغت 9.5 من 10، بينما تشير التحقيقات إلى أن الخطأ البرمجي ظل موجودًا داخل الشيفرة المصدرية منذ عام 2010، أي منذ نحو 16 عامًا، دون اكتشافه أو معالجته.
وتكمن خطورة الثغرة في أنها تسمح للمهاجمين بتنفيذ تعليمات برمجية داخل طبقة البرمجيات الثابتة للجهاز قبل تحميل نظام التشغيل وقبل دخول آليات الحماية الأساسية، بما في ذلك Secure Boot، إلى مرحلة التنفيذ الفعلي.
كيف تعمل الثغرة داخل UEFI؟
يُعد UEFI أول مكون برمجي يعمل عند تشغيل الحاسوب أو الخادم، حيث يتولى تهيئة العتاد وتحميل نظام التشغيل لاحقًا.
وتظهر المشكلة داخل جزء خاص من EDK II مسؤول عن الإقلاع الشبكي المعروف باسم PXE. وخلال عملية الإقلاع عبر الشبكة يستقبل النظام رسائل ICMP ورسائل حالة أخرى ترسلها أجهزة الشبكة أثناء تبادل البيانات.
وبحسب التحليل الفني، تقوم الشيفرة بنسخ هذه الرسائل إلى مساحة ذاكرة ثابتة بحجم 504 بايت. لكن آليات التحقق من حجم البيانات الواردة تحتوي على خطأ منطقي في كل من نسختي IPv4 وIPv6، ما يسمح لرسائل كبيرة الحجم بتجاوز حدود الذاكرة المخصصة وكتابة بيانات إضافية فوق مناطق مجاورة داخل الذاكرة.
ويمثل هذا النوع من الأخطاء ما يعرف باسم تجاوز سعة المخزن المؤقت Buffer Overflow، وهو من أكثر أنواع الثغرات شهرة وخطورة نظرًا لإمكانية استخدامه لتعطيل الأنظمة أو التحكم في مسار تنفيذ البرامج.
تنفيذ تعليمات برمجية قبل Secure Boot
يكفي أن يرسل المهاجم رسالة شبكة مُصممة خصيصًا إلى الجهاز أثناء وجوده في مرحلة الإقلاع الشبكي حتى يبدأ تأثير الثغرة.
وأبسط نتائج الاستغلال تتمثل في توقف عملية الإقلاع وفشل الخادم في التشغيل، إلا أن السيناريو الأخطر يتمثل في القدرة على تنفيذ تعليمات برمجية خبيثة داخل بيئة UEFI نفسها.
وتوضح الوثائق الأمنية أن نجاح هذا السيناريو يتطلب معرفة دقيقة بإصدار البرنامج الثابت الموجود على الجهاز المستهدف، إذ يحتاج المهاجم إلى بناء استغلال مخصص لذلك الإصدار تحديدًا.
وعندما ينجح تنفيذ الكود، فإنه يعمل في مرحلة تسبق التحقق الأمني الخاص بآلية Secure Boot وبقية الضوابط الأمنية المرتبطة بسلسلة الإقلاع الموثوقة، ما يمنح المهاجم امتيازات عالية للغاية داخل النظام.
ورغم أن التعليمات البرمجية المحقونة لا تستمر تلقائيًا بعد إعادة التشغيل، فإن تنفيذها لمرة واحدة قد يكون كافيًا لزرع برمجيات إضافية تمنح المهاجم موطئ قدم دائم داخل النظام.
من هي الجهات المتأثرة؟
تشير المعلومات المتاحة إلى أن جميع إصدارات EDK II وصولًا إلى النسخة edk2-stable202608 الصادرة في أغسطس 2026 تحتوي على الثغرة.
ويُعد EDK II المرجع الأساسي الذي تعتمد عليه شركات تصنيع BIOS وUEFI الكبرى، بما في ذلك AMI وInsyde وPhoenix، فضلًا عن مشروع Project Mu المستخدم من قبل Microsoft في بعض تطبيقاتها الأمنية الخاصة بالبرمجيات الثابتة.
كما أدرجت توزيعات Linux المختلفة الثغرة ضمن قوائم المشكلات الأمنية المعروفة، حيث أكدت Red Hat تأثر حزم edk2 الموجودة في Red Hat Enterprise Linux 8 و9 و10، بينما أعلنت كل من SUSE وDebian تأثر الحزم المقابلة لديها أيضًا.
ومع ذلك، لا توجد حتى الآن صورة دقيقة عن عدد المنتجات الفعلية المتأثرة في الأسواق بسبب اختلاف تطبيقات الشركات المصنعة وإضافاتها الخاصة على الشيفرة المرجعية.
وأكدت Intel أنها لا تعرف حاليًا أيًا من منتجاتها التجارية المدعومة أمنيًا يتأثر مباشرة بالمشكلة، كما أوضحت Arm أن الثغرة لا تنطبق بصورة مباشرة على محفظة منتجاتها، رغم اعتماد الطرفين على أجزاء من منظومة EDK II في بعض البيئات.
التحدي الأكبر: لا تحديثات متاحة بعد
رغم تطوير إصلاح رسمي ودمجه داخل فرع التطوير الرئيسي لمشروع EDK II خلال أكتوبر الجاري، فإن المشكلة الأساسية تتمثل في عدم تضمين هذا الإصلاح داخل أي إصدار مستقر حتى الآن.
وبمعنى آخر، فإن غالبية المستخدمين والمؤسسات لا تملك حاليًا تحديثًا جاهزًا يمكن تثبيته فورًا لمعالجة الخطر.
وتعتمد عملية الحماية الفعلية على قيام الشركات المصنعة للأجهزة والخوادم بإصدار تحديثات BIOS أو UEFI جديدة مبنية على الشيفرة المصححة، وهو ما قد يستغرق وقتًا متفاوتًا من شركة إلى أخرى.
وفي المقابل، يرى باحثون أمنيون أن معالجة هذه الثغرة أسهل نسبيًا مقارنة بأزمات Secure Boot السابقة مثل BootHole وBlackLotus، لأنها لا تتطلب تحديث شهادات الثقة أو إلغاء مفاتيح توقيع رقمية، وإنما تعتمد على إصلاح برمجي مباشر داخل الشيفرة.
لماذا تكتسب الثغرة أهمية استثنائية؟
لا تمثل الثغرة وسيلة مباشرة لاختراق شبكات المؤسسات عبر الإنترنت، إذ يشترط استغلالها وجود المهاجم على شبكة قريبة أو امتلاكه بالفعل موطئ قدم داخل البيئة المستهدفة.
لكن القيمة الحقيقية للثغرة تكمن في موقعها داخل دورة التشغيل. فالسيطرة على النظام قبل مرحلة Secure Boot تمنح المهاجم فرصة للتعامل مع مكونات حساسة للغاية مثل وحدات TPM والتقنيات المستخدمة في تشفير الأقراص والتحقق من سلامة الإقلاع.
وحذر عدد من الخبراء من أن المهاجمين الذين يمتلكون وصولًا محدودًا إلى الشبكات المحلية قد يستخدمون هذه الثغرة للانتقال إلى مستويات أعلى من السيطرة، أو لتعطيل الخوادم الحساسة، أو حتى للتأثير على حماية البيانات المشفرة في بعض السيناريوهات الخاصة.
كما تعيد هذه الواقعة تسليط الضوء على المخاطر المستمرة المرتبطة بمكونات البرمجيات الثابتة Firmware، والتي غالبًا ما تبقى سنوات طويلة دون تدقيق أمني كافٍ، رغم أنها تشكل الأساس التقني الذي تعتمد عليه أنظمة التشغيل وآليات الحماية الحديثة.
