Dev dünya genelindeki veri merkezlerinde ve kurumsal altyapılarda kullanılan sunucuların açılış sürecini yöneten sabit yazılımlarda tespit edilen kritik bir zafiyet, siber güvenlik topluluğunu alarma geçirdi. CVE-2026-97631 olarak kodlanan bu açık, 10 üzerinden 9.5 gibi son derece yüksek bir şiddet derecesine sahip. Zafiyet, işletim sistemi yüklenmeden önce çalıştığı için, işletim sistemi seviyesindeki tüm savunma mekanizmalarını devre dışı bırakarak saldırganlara doğrudan donanım seviyesinde erişim imkânı tanıyor. Bu durum, özellikle Türkiye'deki büyük ölçekli veri merkezleri ve bulut hizmet sağlayıcıları için acil müdahale gerektiren bir tehdit oluşturuyor.
EDK II Kod Tabanındaki Köklü Hata
Problemin kaynağı, donanım üreticileri ve bulut sağlayıcılarının UEFI (Unified Extensible Firmware Interface) sabit yazılımlarını oluşturmak için kullandıkları açık kaynaklı TianoCore EDK II kod tabanında yatar. UEFI Forum temsilcileri tarafından "UEFI spesifikasyonlarının baskın çözümü" olarak nitelendirilen bu altyapı; AMI, Insyde, Phoenix gibi bağımsız BIOS tedarikçileri tarafından yaygın biçimde kullanılıyor. Hatta Microsoft’un güvenlik odaklı sertleştirilmiş çatal sürümü olan Project Mu bile bu zafiyetli bileşeni içeriyor. Yani, dünyanın dört bir yanındaki neredeyse her UEFI sunucu ve veri merkezi, aynı temel kod hatasından etkileniyor. Türkiye'deki yerel donanım entegratörleri ve sistem yöneticileri için bu, kendi altyapılarını denetlerken yalnızca marka bazlı değil, kod tabanı bazlı bir risk analizi yapmaları gerektiği anlamına geliyor.
ICMP Bileşenindeki Bellek Bozulması Mekanizması
Teknik inceleme, zafiyetin PXE-Base Code sürücüsünde (NetworkPkg/UefiPxeBcDxe) yer alan bir bellek bozulması hatası olduğunu ortaya koyuyor. Bu sürücü, sunucuların ve depolama ekipmanlarının yerel ağ üzerinden kod indirerek başlatılmasını sağlayan PXE (Preboot Execution Environment) süreçlerinden sorumludur. Kodun içindeki ICMP (Internet Control Message Protocol) bileşeni, ağ hata mesajlarını dinlerken 16 yıllık bir tampon taşması (buffer overflow) hatası içeriyor. Saldırganlar, bu hatayı kullanarak belleği bozabilir ve böylece işletim sistemi ve firmwar düzeyindeki Secure Boot gibi güven zinciri (chain of trust) mekanizmalarının devreye girmesinden önce zararlı kod çalıştırabilirler. Secure Boot, yüklenen her kodun imzalı olduğunu doğrulayarak TPM (Güvenilir Platform Modülü) ile birlikte çalışır; ancak bu zafiyet, bu mühürü zorlamadan önce çapraz bir giriş noktası sunar.
Saldırı Senaryoları ve Kalıcılık Meselesi
CVE-2026-97631 ile teslim edilen nihai payload'ların kalıcılığı yoktur; yani hata her açılışta otomatik olarak çalışmaz, tek seferlik bir etkileşimle sınırlıdır. Ancak siber güvenlik uzmanları, bunun rahatlatıcı bir detay olmadığını vurguluyor. Zafiyet, saldırganlara açılış sürecinin en erken aşamasında geniş bir açıklık kazandırıyor. Bu boşluk, saldırganlara her açılışta çalışan daha kalıcı diğer payload'ları enjekte etmek için bir kapı niteliğinde. Metasploit yaratıcısı ve Dragos güvenlik firmasından CRO HD Moore, bu durumun özellikle kısa süreli ağ erişimi olan saldırganlar için kritik olduğunu belirtiyor. Moore, yakındaki bir uç noktaya veya sunucuya erişimi olan bir saldırganın, bu hatayı kullanarak açılış sırasında hassas bileşenlere erişim elde edebileceğini ve bu sayede disk şifrelemesini kırmak için TPM'den gelen bilgiyi manipüle edebileceğini açıklıyor. Fiziksel hırsızlık senaryolarında ise bu saldırının çok daha kolay hale geleceği uyarısında bulunuyor.
Yama Süreci ve Kurumsal Risk Yönetimi
Zafiyeti keşfeden Anthropic çalışanı Alex Matrosov ve Google uzmanı Dan Holmes, Ocak ayında koordine edilmiş bir açıklama yapmayı planlamıştı. Ancak AMI adlı donanım üreticisi, zafiyeti detaylandıran ve kod düzeltmesini içeren bir pull request'i geçen ay yayımladı. Bu durum, zafiyetin kamuoyuna açıklanmasından önce sızmasına neden oldu. TianoCore Proje üyeleri, bu gelişmenin ardından geçtiğimiz hafta kamuya açık bir uyarı yayımladı. Artık açık kaynaklı yamanın (patch) mevcudiyeti, gelişmiş siber suçluların hatanın nasıl tetiklendiğini kolayca öğrenip çalışan istismar kodları geliştirmesini sağlıyor. Milyonlarca son cihadda ve binlerce donanım üreticisinin ürünlerinde UEFI kodu yamalamak, teknik olarak karmaşık ve zaman alıcı bir süreçtir. Altı gün önce PHP dilindeki kritik bir kod çalıştırma zafiyetiyle aynı hafta içinde duyurulan bu olay, savunma ekiplerinin üzerindeki yükü daha da ağırlaştırıyor. Türkiye'deki sistem yöneticileri için acil eylem planı, mevcut UEFI firmware sürümlerini derhal incelenmesini, yamaların uygulanmasını ve özellikle kritik sunucularda PXE tabanlı açılış yapılandırmasını geçici olarak devre dışı bırakmayı içermelidir. Açık kaynaklı yamanın varlığı, riskin artık teorik değil, fiili olduğunu göstermektedir.
Kaynak: arstechnica.com
