Sunucuları Uzaktan Ele Geçiren 9,5'lik UEFI Açığı Sızdı

Hatalı bir GitHub talebi aylarca sürecek planı bozdu

Normal şartlarda Ocak 2027'ye kadar gizli kalması gereken açık, bir donanım üreticisinin yama kodunu kamuya açık paylaşmasıyla ifşa oldu.

Açık, Anthropic bünyesindeki Alex Matrosov ve Google ekibinden Dan Holmes tarafından sektörün ortak UEFI temeli olan TianoCore EDK II kodlarında bulundu. Araştırmacılar, sunucu üreticilerine BIOS güncellemelerini hazırlamaları için 2027 başına kadar süre tanımayı hedefliyordu.

Ancak anakart yazılımları geliştiren AMI, kod havuzuna herkese açık bir güncelleme talebi gönderince işler karıştı. Bu talep hem açığın temel nedenini açık etti hem de yama kodunu ifşa etti. Durumu fark eden TianoCore mecburen kendi güvenlik uyarısını erkenden yayımladı ve saldırganların eline açık için tersine mühendislik yapabilecekleri bir harita geçmiş oldu.

Altyapı tarafında son dönemde yaşanan bu tarz koordinasyon krizleri ilk değil; sistem yöneticileri yakın zamanda Brotli açığı HTTP2Shell ile sarsılan web sunucularını toparlamaya çalışırken şimdi de anakart seviyesinde benzer bir kaosa sürüklendi.

EDK II bellek taşması neden bu kadar tehlikeli?

CVE-2026-97631 koduyla listelenen zafiyet, uzaktan erişim sırasında tampon bellek boyutunun yanlış hesaplanmasından doğan klasik bir bellek taşması (buffer overflow) hatası. Saldırganlar bu boşluğu kullanarak sunucunun işletim sistemi daha devreye bile girmeden rastgele kod çalıştırabiliyor.

Bu durum bir UEFI açığı ile karşılaşıldığında güvenlik ekiplerinin neden alarma geçtiğini net biçimde özetliyor. Zararlı kod sistem önyüklemesinden önce çalıştığı için Windows veya Linux üzerinde çalışan antivirüs ya da uç nokta tespit (EDR) ajanları herhangi bir anormallik fark edemiyor.

Sunucuya format atmak hiçbir işe yaramıyor. NVMe SSD'leri söküp yenilerini taksanız bile açık anakartın üzerindeki SPI flash yongasında yaşadığı için saldırgan donanımda kalmaya devam ediyor.

Neyse ki saldırıyı gerçekleştirmek pratik bir süreç değil. Kötü niyetli kişilerin hedef arayüze erişebilmek için halihazırda yerel ağda bir gedik açmış olması şart. Bu nedenle açığın acemi bilgisayar korsanlarından ziyade organize siber suç örgütleri ve devlet destekli gruplar tarafından ilk olarak kullanılacağı tahmin ediliyor.

Sunucu yamalarını dağıtmak aylar sürebilir

Açık kaynaklı bir projede çekirdek kodu düzeltmek işin en kolay kısmı. Esas zorluk, o yamayı veri merkezlerindeki milyonlarca anakarta ulaştırmakta başlıyor. Dell, HPE, Supermicro ve Lenovo gibi donanım üreticilerinin EDK II yamasını kendi özelleştirilmiş BIOS paketlerine uyarlaması haftalar sürüyor.

Üreticiler güncellemeyi dağıtsa bile sistem yöneticilerinin kritik sunucuları kapatıp BIOS güncellemesi planlaması gerekiyor. Ekosistemin dağınıklığı sebebiyle piyasadaki eski veya yönetilmeyen çok sayıda sunucunun bu güncellemeyi hiçbir zaman alamayacağı ve ağ sınırlarının arkasında kalıcı olarak savunmasız kalacağı öngörülüyor.

Türkiye'de durum ne?

Türkiye'deki veri merkezleri, bankalar ve kamu kurumları ağırlıklı olarak Dell, HPE ve Supermicro gibi küresel üreticilerin sunucu altyapılarını kullanıyor. TianoCore deposundaki açık kaynak yama doğrudan alıp sunucuya yüklenebilen bir dosya değil; bu nedenle Türkiye'deki BT yöneticilerinin donanım sağlayıcılarının Türkiye servis bültenlerini ve resmi BIOS güncellemelerini yakından takip etmesi gerekiyor.

Yama dağıtılana kadar alınabilecek en somut önlem, sunucuların bant dışı yönetim (iDRAC, iLO gibi BMC) portlarını şirket dışı ağlara açmamak ve yönetim arayüzlerini izole VLAN'lar arkasına çekmektir.

Temel yama kodu kamuya sızdığı için artık zaman savunucuların aleyhine işliyor. Donanım üreticileri test edilmiş BIOS paketlerini dağıtana kadar temel güvence, sunucu yönetim arayüzlerini ve yönetim ağlarını sıkı bir biçimde izole etmekten geçiyor.