潜伏 16 年 UEFI 高危漏洞处置与防护技术方案

本次曝光的 UEFI 漏洞编号为 CVE-2026-97631，CVSS 风险评分达到 9.5 分，该漏洞在开源 UEFI 固件库 TianoCore EDK II 中已经潜伏长达 16 年，攻击者可以在设备操作系统启动之前植入并运行恶意代码，绕过安全启动等防护机制；该漏洞仅在开启 PXE 网络引导功能的设备上存在利用条件，只要做好固件更新、网络引导管控两项核心工作，就能把设备防护等级拉满，稳妥规避这项底层固件风险，保障服务器与终端设备启动链路安全稳定。

一、漏洞基础信息说明

1. 漏洞核心基础参数

表格

2. 受影响设备范围

1. 硬件厂商：采用 AMI、Insyde、Phoenix 固件的服务器、工控机、台式终端；微软 Project Mu 固件分支同样受影响。
2. 设备类型：企业服务器、数据中心主机、支持 PXE 批量部署的电脑终端。
3. 系统环境：Windows、Linux 全系列操作系统，漏洞不受上层系统版本限制。

二、漏洞成因解析

该漏洞属于缓冲区溢出缺陷，固件在处理 PXE 网络启动的 ICMP 数据包时，没有严格校验数据包长度，超出预设缓冲区容量的数据会改写固件内存。漏洞运行在 UEFI 的 DXE 启动阶段，此时安全启动、TPM 可信校验等防护措施还没有正式生效，攻击者能够直接改写固件运行逻辑，写入恶意启动代码，而且恶意程序可以长期驻留在固件底层，常规杀毒软件无法检测查杀。

三、分步骤防护处置操作

步骤 1：临时应急防护（无需升级固件，立即生效）

1. 进入设备 UEFI/BIOS 设置界面，找到启动选项，直接关闭 PXE 网络启动功能，切断漏洞利用入口。
2. 网络层面做隔离：把服务器部署网段和办公网段划分独立 VLAN，禁止普通终端接入服务器启动网络，避免局域网内发起攻击。
3. 暂时关闭非必要的网络启动服务，仅保留硬盘本地启动作为唯一启动方式。

步骤 2：长期根治方案（固件补丁升级）

1. 查询设备型号对应的厂商固件更新公告，等待硬件厂商推送包含 EDK II 代码修复的 BIOS/UEFI 固件安装包，不要自行修改开源固件源码。
2. 优先升级服务器、数据中心主机固件，普通办公电脑如果不使用 PXE 功能，可以长期保持关闭网络启动的防护策略。
3. 固件升级完成后，进入 UEFI 界面核对固件版本，确认已纳入缓冲区长度校验补丁。

步骤 3：安全加固配套措施

1. 保持 UEFI 安全启动（Secure Boot）持续开启，同步更新 DBX 禁止签名数据库，拦截存在缺陷的引导程序。
2. 开启 TPM 可信启动，建立从固件到系统的完整信任链，进一步阻断底层恶意代码执行。
3. 定期导出固件启动日志，对启动链路做常态化审计，及时发现异常启动行为。

四、整体总结

这项潜伏 16 年的 UEFI 高危漏洞，核心风险集中在开启 PXE 网络引导的设备上，攻击者依靠超长 ICMP 数据包触发内存溢出，在系统启动前植入恶意代码。日常防护可以先关闭 PXE 网络启动完成临时防护，等硬件厂商发布新版固件后完成升级根治；同时搭配安全启动、网络分段、启动日志审计等加固手段，形成多层防护体系，彻底规避 UEFI 底层固件带来的安全隐患，保障设备启动链路全程安全可靠。

【相关 FAQ】

问题 1：本次潜伏 16 年的 UEFI 高危漏洞，在什么条件下才会被攻击者利用？

回答 1：本次潜伏 16 年的 UEFI 高危漏洞（CVE-2026-97631），必须满足两个前提条件才能被利用：一是设备开启了 PXE 网络启动功能，二是攻击者与目标设备处于同一个局域网，能够发送特制的 ICMP 数据包；如果设备只使用硬盘本地启动，该 UEFI 漏洞无法被触发。

问题 2：针对这个 9.5 分高危 UEFI 漏洞，在没有固件补丁的情况下，有哪些稳妥的临时防护手段？

回答 2：在厂商还未推送固件补丁时，针对该 UEFI 漏洞最有效的临时防护就是直接在 UEFI 设置里关闭 PXE 网络启动功能；同时把服务器启动网络和办公网络做 VLAN 隔离，禁止外部终端接入启动网段，双重封堵漏洞利用通道，在固件更新前保障设备安全。

问题 3：修复这款潜伏 16 年的 UEFI 漏洞，只更新电脑操作系统补丁可以解决问题吗？

回答 3：只更新 Windows 或者 Linux 系统补丁无法修复这款 UEFI 漏洞，该缺陷存在于底层硬件固件 EDK II 代码中，属于操作系统之下的固件层级问题；必须安装硬件厂商发布的 BIOS/UEFI 固件升级包，才能完成漏洞根治，系统层面补丁无法修改固件底层代码。

【数据来源】

[2026-10-29]（潜伏 16 年 UEFI 高危漏洞曝光）快科技官方微博

[2026-10-28]（CVE-2026-97631 漏洞详情）Security Affairs 安全资讯网站

[2026-10-28]（UEFI 固件漏洞技术分析）至顶网网络安全栏目

[2026-10-28]（CVE-2026-97631 漏洞修复方案）TechRounder 技术社区

[2026-10-28]（EDK II 缓冲区溢出漏洞说明）DEV Community 技术论坛

免责声明：本文整理的 UEFI 漏洞信息、处置步骤均来自公开网络安全技术资料与权威漏洞数据库；漏洞仅在开启 PXE 网络启动的局域网环境下存在利用条件，目前暂无大规模公开攻击事件；固件升级操作请严格按照硬件厂商官方教程执行，升级前做好设备数据备份，避免意外断电造成启动故障；网络隔离与固件加固措施仅能降低安全风险，无法做到绝对无风险，企业用户可搭配专业固件安全检测工具定期开展设备安全巡检。