CVE-2026-97631 est une vulnérabilité d'EDK II, le code open source dont dérivent de nombreux firmwares UEFI (le programme qui démarre en premier quand on allume un ordinateur, avant même le système d'exploitation). Elle pèse 9,5 sur 10 dans l'échelle de gravité CVSS v4. Un message ICMP trop long, envoyé à une machine en plein démarrage réseau PXE, peut la bloquer ; qui connaît la version exacte du firmware peut aller plus loin et faire exécuter du code avant que Secure Boot ne vérifie quoi que ce soit.

La fiche officielle, un « advisory », c'est-à-dire le bulletin de sécurité que le projet publie sur GitHub, porte la référence GHSA-99cj-7hg9-mp4m. Elle est sortie le 22 octobre 2026 sous le titre « Pre-boot RCE in EDK II PXE driver » (RCE désigne l'exécution de code à distance). Le score et le mécanisme qui circulent ces jours-ci viennent de cet advisory. L'ampleur, celle qui parle de « la plupart des serveurs de la planète », n'a pas le même appui. On verra plus bas pourquoi.