Уязвимость CVE-2026-97631 не затрагивает домашние компьютеры, устройства для малого бизнеса и другие системы, которые загружаются только с дисков. Риск возникает у организаций, чьи машины запускаются через локальную сеть или потенциально используют подключённые к интернету ресурсы. При этом прошивка должна быть построена на EDK2 и применять функцию PXE (загрузка системы по сети), которая включена по умолчанию.
В Intel заявили, что среди коммерческих продуктов, находящихся на текущем сопровождении безопасности, пока не выявили затронутых решений. Компания пояснила, что не включает уязвимый компонент EDK2 в свой эталонный код, однако его может добавить производитель системной платы или готового устройства. Пользователям рекомендовали обратиться за уточнениями к изготовителю конкретной системы.
При этом в общедоступном эталонном коде Intel есть ссылки на EDK2. Проект TianoCore также указывает, что каждый поставляемый Intel комплект для разработки UEFI представляет собой проверенную реализацию для определённой версии исходного кода EDK II. На использование EDK2 ссылаются и другие документы Intel.
Компания Arm сообщила, что CVE-2026-97631 напрямую не относится к её продуктам. Вместе с тем доступные прошивки Arm активно используют компоненты EDK2, что подтверждается документацией проекта TianoCore и материалами самой компании. Поэтому полностью исключать связь отдельных платформ с этой технологией нельзя.
Пользователям серверов рекомендуется проверить, применяется ли EDK2 в их системах и может ли на них распространяться CVE-2026-97631. Даже если некоторые платформы не содержат соответствующего кода, такая проверка остаётся необходимой для оценки риска.
На момент публикации на вопросы о возможном использовании EDK2 не ответили AMD, Phoenix Technologies, AMI, Microsoft и Amazon. Представители проекта TianoCore также не предоставили комментариев, поэтому определить затронутые устройства и необходимые меры для этих компаний пока невозможно.