30. Oktober 2026, 10:03 Uhr | Lesezeit: 3 Minuten
Nach der jüngst bekannt gewordenen PHP-Schwachstelle sorgt das nächste schwere Sicherheitsproblem für Aufmerksamkeit. Dieses Mal steckt das Problem im Startprozess von Servern. Forscher von Google und Anthropic warnen vor einer Schwachstelle in der sogenannten UEFI-Software, die Angriffe ermöglicht, bevor Windows, Linux oder ein anderes Betriebssystem überhaupt aktiv ist.
Was PXE überhaupt mit dem Serverstart zu tun hat
Laut Online-Magazin „WinFuture“ wird das Problem als besonders gravierend eingestuft und soll bereits seit 16 Jahren unentdeckt im Code stecken. Betroffen ist der PXE-Treiber von EDK II, einer weitverbreiteten Entwicklungsumgebung für UEFI‑Firmware. PXE steht für Preboot Execution Environment und kommt vor allem dort zum Einsatz, wo viele Rechner zentral verwaltet werden. Statt das Betriebssystem von einer internen SSD oder Festplatte zu laden, kann ein Computer beim Start die benötigten Daten über das Netzwerk beziehen. Gerade in Rechenzentren ist das praktisch. Genau dieser Netzwerkstart öffnet nun aber auch die Tür für die Schwachstelle.
Der Fehler steckt in der Verarbeitung bestimmter Nachrichten während des PXE-Starts. Empfangene Daten landen in einem Speicherbereich, der lediglich 504 Byte groß ist. Eigentlich müsste die Software zuverlässig verhindern, dass mehr Daten hineingeschrieben werden. Genau diese Kontrolle funktioniert jedoch nicht korrekt. Größere Nachrichten können deshalb über die vorgesehenen Grenzen hinaus in den Speicher geschrieben werden und dort andere Daten überschreiben.
Sicherheitslücke in Windows 11! Forscher veröffentlicht brisanten Code
Google veröffentlicht aus Versehen Code für gefährliche Browser-Lücke
Deshalb ist die UEFI-Lücke so kritisch
Ein entsprechender Speicherfehler kann weitreichende Folgen haben. Im schlimmsten Fall lässt sich fremder Code direkt innerhalb der UEFI-Umgebung ausführen. Und das passiert zu einem besonders ungünstigen Zeitpunkt: Das Betriebssystem läuft noch nicht und kann den Vorgang deshalb auch nicht mit seinen üblichen Sicherheitsmechanismen abfangen. Selbst Secure Boot und TPM bieten in diesem Szenario keinen zuverlässigen Schutz.
Der hohe Schweregrad bedeutet nicht, dass Angreifer jetzt massenhaft beliebige Rechner aus dem Internet attackieren können. Genau hier unterscheidet sich die UEFI-Lücke deutlich von der sogenannten PHP2Shell-Schwachstelle. Der Angreifer muss bereits während des PXE-Starts Zugriff auf den Netzwerkpfad des Zielrechners haben. Außerdem muss er wissen, wie dessen Firmware konfiguriert ist, und seinen Angriff entsprechend anpassen. Das schränkt die Zahl realistischer Angriffsszenarien erheblich ein.
Hinzu kommt ein für Angreifer unangenehmer Nebeneffekt. Manipulierte Nachrichten können nicht nur die Ausführung von Code ermöglichen. Sie können auch dazu führen, dass der betroffene Server während des Startvorgangs hängen bleibt. Statt unbemerkt die Kontrolle zu übernehmen, würde ein Angreifer zunächst schlicht erreichen, dass der Rechner nicht mehr startet. Administratoren könnten dementsprechend relativ schnell auf ungewöhnliches Verhalten aufmerksam werden.
Müssen sich Nutzer zu Hause Sorgen machen?
Private Windows-Rechner und Macs sind nach bisherigen Erkenntnissen nicht gefährdet. Rechner, die ihr Betriebssystem gewöhnlich von einer internen SSD oder Festplatte starten, sind von dem beschriebenen PXE-Angriffsszenario nicht unmittelbar betroffen. Wichtiger ist das Thema für Unternehmen, Behörden und Rechenzentren, die Systeme zentral über PXE starten. Dort sollten Administratoren die verwendete Firmware und verfügbare Aktualisierungen prüfen.
Auch interessant: Speicherpreise sollen sich bis März verdoppeln
Betroffene Systeme sollten möglichst zeitnah mit verfügbaren Firmware-Updates versorgt werden. Wird PXE nicht benötigt, lässt sich der Netzwerkstart vorübergehend deaktivieren. Eine zusätzliche Schwierigkeit besteht laut „WinFuture“ darin, dass Informationen zur Schwachstelle vorzeitig an die Öffentlichkeit gelangten. Angreifer könnten sich daher schon mit dem Fehler beschäftigen, während möglicherweise noch nicht jeder Hersteller passende Aktualisierungen anbietet. Betreiber entsprechender Server-Infrastrukturen sollten die weitere Entwicklung deshalb aufmerksam verfolgen.