Уязвимость CVE-2026-97631 затрагивает не домашних пользователей и небольшие офисы, а организации, чьи устройства загружаются через локальную сеть или, потенциально, из ресурсов, подключённых к интернету. Для эксплуатации должны одновременно использоваться прошивка на базе EDK2 и функция PXE, включённая по умолчанию. Компьютеры, которые запускаются только с дисков, под действие этой проблемы не подпадают.
Intel заявила, что среди её коммерческих продуктов, находящихся на текущем сопровождении безопасности, пострадавших устройств пока не выявлено. Компания пояснила, что не включает уязвимый компонент EDK2 в эталонный код, однако его могут добавлять производители плат или систем. Intel рекомендовала клиентам обращаться за уточнениями к изготовителям оборудования.
При этом в общедоступном эталонном коде Intel есть ссылки на EDK2. Проект TianoCore указывает, что каждый поставляемый Intel комплект разработки UEFI представляет собой полностью проверенную реализацию для конкретной версии исходного кода EDK II. Упоминания EDK2 также встречаются в других документах Intel.
Arm сообщила, что CVE-2026-97631 «не имеет прямого отношения к продуктовому портфелю Arm». Вместе с тем доступные прошивки компании во многом используют код EDK2. Зависимость решений Arm от этой технологии также описана проектом TianoCore.
Поэтому владельцам серверов рекомендуется проверить, применяется ли EDK2 в их системах и может ли на них повлиять CVE-2026-97631. Даже если отдельные платформы не содержат этот код, полностью исключать риск без такой проверки нельзя.
Запросы к AMD, Phoenix Technologies, AMI, Microsoft и Amazon, которые могут относиться к числу наиболее затронутых организаций, на момент публикации ответа не получили. Представители проекта TianoCore также не прокомментировали ситуацию. Об этом сообщило издание Ars Technica.