CVE-2026-97631 - kritische Sicherheitslücke in der UEFI-Firmware-Komponente EDK II

What to do

• Check whether your product depends on Hetzner. Check your stack

  Paste a package.json, lockfile, Terraform or a list of domains at down.guide/stack to see every provider you depend on.

• Confirm your retries, queues and scheduled jobs caught up after the 0m it lasted.

  Anything that failed between 2026-11-03 09:56 UTC and 2026-11-03 09:56 UTC may need a replay.

• Subscribe to Hetzner's feed to hear about the next one first. RSS feed

  https://down.guide/feed?provider=hetzner works in Slack (/feed subscribe), Discord feed bots and any RSS reader.

Updates from Hetzner 1

1. resolvedNov 3, 2026, 9:56 AM UTC

   Start: 2026-10-28T17:08:08+00:00 Aktuell ist eine kritische Sicherheitslücke in der UEFI-Firmware-Komponente EDK II bekannt (CVE-2026-97631, CVSS 9.5). Details finden Sie im Advisory: https://github.com/tianocore/edk2/security/advisories/GHSA-99cj-7hg9-mp4m Was ist betroffen? Die Schwachstelle betrifft Systeme, die über das Netzwerk per PXE booten. Während des Bootvorgangs kann ein Angreifer über manipulierte Netzwerkpakete Schadcode ausführen, noch bevor das Betriebssystem und dessen Schutzmechanismen (z. B. Secure Boot) aktiv sind. Ein laufendes System ist nicht unmittelbar gefährdet; das Risiko besteht ausschließlich während eines PXE-Boots. Ein offizieller Patch ist derzeit noch nicht verfügbar. Was empfehlen wir? Als erste Sofortmaßnahme empfehlen wir, Reboots Ihrer Hosts bis auf Weiteres zu vermeiden, sofern diese per PXE booten. Wie geht es weiter? Wir analysieren die Auswirkungen auf unsere Umgebung und erarbeiten weitere Handlungsempfehlungen sowie zusätzliche Schutzmaßnahmen. Sobald neue Erkenntnisse oder Updates vorliegen, informieren wir Sie umgehend. Update 2026-11-03T09:56:06+00:00 Für Cloud-Server sind Netzwerkfilter bereits seit einiger Zeit im Einsatz. Diese Schutzmaßnahmen sind nun in unserer gesamten Cloud-Infrastruktur vollständig implementiert, wodurch das Problem für die Cloud behoben ist. Bei dedizierten (Bare-Metal-)Servern prüfen wir weiterhin Möglichkeiten, diese Schutzmaßnahmen innerhalb unserer Rechenzentrumsnetzwerke weiter auszubauen. Update 2026-11-02T13:03:18+00:00 Die in unserem letzten Update beschriebenen Netzwerkfilter sind nun an unserem Network Edge und zwischen unseren Standorten aktiv. Die Einführung der Filter auf Cloud-Servern schließen wir heute ab. Für dedizierte (Bare-Metal-)Server prüfen wir derzeit, wie wir diese Schutzmaßnahmen innerhalb unserer Rechenzentrumsnetzwerke weiter ausbauen können. Bis dahin gelten weiterhin unsere bisherigen Empfehlungen, insbesondere für dedizierte Server: Bitte vermeiden Sie Neustarts nach Möglichkeit, und sollten diese dennoch erforderlich sein, blockieren Sie eingehende ICMP-Pakete vorübergehend über die Hetzner-Firewall. Wir werden Sie über weitere Fortschritte auf dem Laufenden halten. Update 2026-10-30T16:07:21+00:00 Wir implementieren Filter in unserem Netzwerk, die fragmentierte ICMPv4-Pakete sowie ICMPv4-Fehlermeldungen mit einer Größe von mehr als 768 Bytes verwerfen. Konkret bedeutet dies: Jedes IPv4-Paket mit dem Protokoll ICMP, bei dem das "More Fragments (MF)"-Flag gesetzt ist oder der "Fragment Offset"-Wert größer als 0 ist, wird verworfen. Ebenso werden ICMPv4-Pakete der Typen 3 (Destination Unreachable), 4 (Source Quench), 5 (Redirect), 11 (Time Exceeded) oder 12 (Parameter Problem) verworfen, sofern die "Total Length" im IPv4-Header 768 Bytes oder mehr beträgt. Unsere bereits ausgesprochenen Empfehlungen zum Schutz Ihrer Systeme haben weiterhin Bestand. Update 2026-10-29T12:34:52+00:00 Was ist betroffen? Dedicated Server (Bare-Metal-Server) und Cloud-VMs die unter UEFI laufen. Unter Linux prüfen Sie das mit [ -d /sys/firmware/efi ] && echo UEFI || echo BIOS Was empfehlen wir? Ein laufendes System ist nicht unmittelbar gefährdet. Das Risiko besteht bei Dedicated Servern ausschließlich beim Reboot und bei Cloud VMs nur beim Booten ins Rescue-System. Vermeiden Sie nach Möglichkeit entsprechende Bootvorgänge, bis eine Lösung verfügbar ist. Als zusätzliche Sicherheitsmaßnahme können Sie temporär während Reboots eingehende ICMP-Pakete über die Hetzner-Firewall blockieren: Anleitung für Dedicated Server (https://docs.hetzner.com/de/robot/dedicated-server/firewall/): Bitte beachten Sie, dort beim Anlegen “Hetzner Dienste erlauben” zu aktivieren Anleitung für Cloud Server: https://docs.hetzner.com/de/cloud/firewalls/getting-started/creating-a-firewall/ Wie geht es weiter? Wir arbeiten an weiteren Handlungsempfehlungen sowie zusätzlichen Schutzmaßnahmen. Sobald neue Erkenntnisse oder Updates vorliegen, informieren wir Sie

   provider

Corrections

None so far.

Something wrong on this page? Report an error or send us a note. Every fix is listed here.