Falla de dieciséis años en UEFI permite ejecutar código malicioso en servidores

Investigadores de seguridad acaban de descubrir un agujero crítico en el código base de arranque que lleva dieciséis años escondido en silencio, esperando el momento exacto para saltarse cualquier defensa. Se trata de una vulnerabilidad crítica catalogada como CVE-2026-97631 con una calificación de severidad de 9.5 sobre 10. La falla reside en EDK II, el paquete de código abierto desarrollado por TianoCore sobre el cual la gran mayoría de fabricantes diseña el firmware de arranque UEFI para computadoras y servidores. El fallo se encuentra específicamente en el sistema de arranque por red conocido como PXE, utilizado ampliamente en servidores de centros de datos para cargar sistemas operativos a distancia.

El problema es un desbordamiento de memoria originado en una rutina que copia mensajes de red a un espacio fijo de apenas 504 bytes sin validar correctamente los tamaños. Esto permite que un atacante conectado a la misma red local envíe un paquete manipulado durante el encendido para congelar el equipo o inyectar código malicioso en la memoria. Y lo más grave, este código se ejecuta dentro del firmware antes de que cargue el sistema operativo y antes de que se activen las defensas de Secure Boot. La falla estuvo presente en el código desde noviembre de 2010 y, aunque ya existe un parche en desarrollo, la mayoría de los administradores no tienen una actualización disponible hasta que cada fabricante de hardware libere un nuevo BIOS.

Si administras servidores en centros de datos o nubes privadas y no utilizas el arranque por red, desactiva la función PXE en el BIOS hoy mismo. La superficie de ataque más peligrosa siempre es la que olvidaste que estaba encendida.

Si te pareció interesante esta información y quieres enterarte de más noticias como esta, no olvides suscribirte a nuestro canal de YouTube y seguirnos a través de nuestras redes sociales (Facebook, X, LinkedIn e Instagram) para estar informado con las noticias más relevantes de tecnología y ciberseguridad. Adicionalmente, conocerás más detalles sobre todos los productos y/o servicios de ciberseguridad que ofrece Quanti para ti.