Un fallo en el código de arranque por red de EDK II, el proyecto de código abierto de firmware UEFI que mantiene TianoCore, permite a un atacante ejecutar código antes de que arranque el sistema operativo, sin contraseña y desde la red. Tiene el identificador CVE-2026-97631 y una puntuación de gravedad de 9,5 sobre 10. El arreglo ya está en el código fuente desde el 15 de octubre, pero tardará en llegar a los equipos. Lo detalla el aviso oficial de TianoCore, el proyecto que mantiene EDK II, y lo recoge la base de datos de vulnerabilidades de EE. UU..Medios como Ars Technica lo han titulado como una amenaza para la mayoría de los servidores del planeta. Ninguna fuente oficial da esa cifra, y los requisitos del ataque la matizan bastante.¿Qué es exactamente el fallo?Un desbordamiento de búfer en el controlador que gestiona el arranque por red PXE, el sistema con el que muchos servidores cargan su sistema operativo desde la red en lugar de desde su propio disco. Según TianoCore, cuando el equipo recibe un mensaje de error de red ICMP, lo copia en un espacio fijo de 504 bytes sin comprobar antes su tamaño. Un mensaje más grande desborda ese espacio. Afecta tanto a IPv4 como a IPv6.El impacto tiene dos niveles. El más sencillo es colgar el arranque e impedir que el servidor cargue su sistema o se recupere. El más grave, según el aviso, es que un atacante que conozca la versión concreta del firmware cuele en el mismo paquete instrucciones que el equipo ejecuta antes de que exista ningún control de seguridad del sistema operativo. El resumen del aviso, reproducido en la lista de seguridad oss-security, precisa que eso ocurre antes de que Secure Boot o el arranque medido puedan verificar nada.¿Quién está realmente expuesto?Los equipos que arrancan por red PXE en el momento del ataque y cuyo firmware incluye ese controlador. El atacante no necesita autenticarse: le basta con enviar un mensaje de error ICMP dirigido a la dirección del equipo mientras arranca, y según TianoCore puede hacerlo desde cualquier distancia de red. Pero la puntuación de gravedad ya recoge que hacen falta condiciones previas, y la versión con ejecución de código exige conocer el firmware concreto del objetivo.Los servidores que arrancan solo desde su disco local no usan ese camino. Por eso «la mayoría de servidores del planeta» describe, como mucho, el alcance potencial del código, no el número real de máquinas atacables.Hay otro contraste interesante. La puntuación de 9,5 la asigna TianoCore, y la base de datos NVD, del NIST estadounidense, ha aplazado su propio análisis. Debian, que distribuye EDK II como firmware para máquinas virtuales, lo considera un asunto menor en su versión estable.¿Está parcheado?En el código fuente sí; en la mayoría de los equipos, todavía no. La corrección se fusionó en la rama principal de EDK II el 15 de octubre, y Microsoft la llevó a su variante de firmware, Project Mu, el 22 de octubre. Pero el propio aviso de TianoCore indica que no hay todavía una versión estable parcheada, Debian no tiene paquete corregido y no hemos encontrado avisos de los fabricantes. AMI, por ejemplo, no lo recoge en su página de avisos de seguridad.Ese es el verdadero problema del firmware: el arreglo tiene que recorrer una cadena larga, del proyecto de código abierto al fabricante del firmware, de este al fabricante del servidor y, al final, al administrador que instala la actualización de la BIOS. Es la misma historia que vimos con el fallo de Broadcom en los routers y que explica por qué un equipo que ya no recibe actualizaciones es un riesgo.Mientras llegan las actualizaciones, lo sensato para quien gestiona servidores es desactivar el arranque por red donde no haga falta y aplicar la actualización de firmware en cuanto su fabricante la publique. No consta que el fallo se haya explotado.Un dato de transparencia: según el aviso, lo descubrieron Alex Matrosov, de Anthropic, la empresa que desarrolla Claude, y Dan Holmes-Mitra, de Google, que aportaron también la corrección recomendada.Mi lectura: es un fallo serio en un sitio especialmente delicado, porque lo que se ejecuta antes que el sistema operativo es casi invisible para las defensas habituales. Pero el titular alarmista hace un flaco favor. Quien administra servidores necesita saber dos cosas concretas: si sus máquinas arrancan por red y cuándo publicará su fabricante la BIOS corregida. Y lo segundo, a día de hoy, nadie lo ha dicho.La noticia Un fallo crítico en el firmware de arranque de muchos servidores: qué es CVE-2026-97631 y por qué el titular de «la mayoría de servidores del planeta» exagera fue publicada originalmente en Wwwhatsnew.com por Natalia Polo.