לפני שמערכת ההפעלה עולה, המחשב מריץ קוד אחר: הקושחה שמאתחלת את החומרה, בודקת מה מחובר ומעבירה את השליטה הלאה. EDK2 הוא מימוש הקוד הזה שעליו מבוססים ה-BIOS של יצרני לוחות ושרתים רבים, ולפי הרשומה יש בו חולשה שמאפשרת גלישת חוצץ והרצת קוד דרך גישה מרחוק. הציון הוא 9.5 מתוך 10 בסולם CVSS 4.0.
מה החולשה?
חוצץ הוא אזור זיכרון בגודל שנקבע מראש, שאליו תוכנה מעתיקה נתון שהגיע מבחוץ. אם הנתון גדול מהחוצץ והקוד אינו בודק את הגודל לפני ההעתקה, הוא כותב גם על מה שיושב מעבר לקצה. לסוג הכשל הזה קוראים גלישת חוצץ קלאסית, והסיווג שלו הוא CWE-120.
הרשומה מונה שלוש בעיות שמשתלבות זו בזו: חישוב שגוי של גודל החוצץ, כתיבה מחוץ לתחום, וגלישת החוצץ עצמה. זה סדר הגיוני, כי הראשונה היא מה שמוביל לשתיים האחרות. לפי הרשומה התוצאה האפשרית היא הרצת קוד שרירותי, ולצדה פגיעה בסודיות, בשלמות ובזמינות.
ההקשר הוא מה שהופך את זה לחמור. הקוד שבו יושבת החולשה רץ לפני מערכת ההפעלה, ולכן מחוץ לתחום הראייה של כל מה שמותקן אחריה. אנטי וירוס, בקרת גישה ומנגנוני ההגנה של מערכת ההפעלה אינם קיימים עוד בשלב הזה. הרשומה גם מסמנת שההשפעה חורגת אל המערכת שמעבר לרכיב הפגיע, ובשלושת המדדים האלה היא מסומנת גבוה.
יש גם צד שני. הדירוג מסמן שלניצול נדרשים תנאים מסוימים שאינם מתקיימים בכל תצורה. מה שהוא כן מסמן זה שהגישה היא מהרשת, שאין צורך בהרשאות, ושאין צורך בפעולה של משתמש.
מי מושפע?
כאן יש פער שחשוב לומר אותו בגלוי: הרשומה אינה מפרטת גרסאות ואינה מונה יצרנים או מוצרים. השדות האלה ריקים בה, ולכן אין רשימה שאפשר להצביע עליה ולומר מי בפנים ומי בחוץ.
מה שאפשר לומר הוא ש-EDK2 אינו מוצר שמישהו מתקין, אלא בסיס קוד שיצרנים בונים ממנו את הקושחה של המוצרים שלהם. לכן התיקון אינו מגיע מהפרויקט אל המשתמש אלא עובר דרך יצרן החומרה, שצריך לקחת אותו, לשלב אותו בקושחה שלו ולהוציא עדכון. זה גם מה שהופך את החלוקה לאיטית.
רשימת המקורות של הרשומה ממחישה את זה. יש בה את הודעת האבטחה של פרויקט tianocore, שהוא הבית של EDK2, ולצדה בקשת מיזוג בפרויקט mu_basecore של Microsoft, שהוא אחד מאותם גורמים שנושאים את הקוד הזה הלאה. שני מקומות שונים שצריכים לתקן את אותו דבר.
על ההיקף אפשר ללמוד משהו גם מרשימת המקורות עצמה: היא כוללת כתבה באתר Ars Technica, שלפי הכותרת שלה מעריכה שהחולשה נוגעת לרוב השרתים בעולם. זו הערכה של אתר תקשורת ולא נתון שמופיע ברשומה עצמה, וכך כדאי לקרוא אותה. בישראל אין לזה חיתוך מיוחד: מי שמפעיל שרתים פיזיים, בחדר שרתים או במרכז נתונים, הוא מי שצריך להסתכל, ולמי שיש מחשב נייד ההחלטה כמעט תמיד אינה בידיו אלא בידי היצרן.
האם מנוצלת בפועל?
לא ידוע על ניצול בשטח. החולשה אינה רשומה בקטלוג ה-KEV של CISA, סוכנות הסייבר האמריקאית, שמרכז חולשות שאומת בהן ניצול, וזה המצב נכון לעדכון האחרון של העמוד הזה.
מה שכן, הפרטים מתגלגלים בפומבי. הרשומה עלתה ל-NVD ב-22 באוקטובר 2026, והדיון עליה הופיע גם ברשימת התפוצה oss-security בסוף אותו חודש.
וכאן יש פער ששווה להכיר. חולשה בקושחה מתוקנת לאט, כי התיקון עובר דרך יצרן החומרה ודורש מהמשתמש פעולה שרוב האנשים אינם מבצעים. לכן גם אם אין ניצול היום, חלון הזמן שבו החולשה פתוחה בשטח ארוך בהרבה מזה של חולשה בתוכנה שמתעדכנת לבד.
מה עושים?
בררו קודם אם יצרן החומרה שלכם הוציא עדכון קושחה. את זה עושים בדף התמיכה של דגם הלוח או השרת ולא דרך מערכת ההפעלה. הרשומה אינה מפרטת גרסאות, כך שמה שאתם מחפשים בדף התמיכה הוא עדכון שמזכיר את CVE-2026-97631 או את EDK2.
למי שמפעיל שרתים: עדכון קושחה הוא פעולה שדורשת תכנון, לרוב אתחול ולעיתים חלון תחזוקה. שווה להכניס אותה לתור העבודות עכשיו ולא לחכות שתופיע רשימת גרסאות, כי הרשומה אינה עומדת לספק אחת. הודעת האבטחה של tianocore היא המקום שבו יתפרסמו פרטים נוספים על גרסאות מתוקנות, והיא גם המקור שממנו יצרני החומרה לוקחים את התיקון, כך ששווה לעקוב אחריה.
ובינתיים, מה שמצמצם חולשה שמנוצלת מהרשת הוא לצמצם מי יכול להגיע למכונה ברשת בכלל. זה נכון תמיד, והוא נכון במיוחד כשהתיקון תלוי בצד שלישי ואינו בידיכם.