AMD opravuje dvě kritické zranitelnosti TPM 2.0. Týkají se procesorů od Ryzen 3000 po nejnovější řady 9000 i serverových EPYC

Společnost AMD v polovině srpna 2026 oficiálně přiznala dvě vysoce závažné bezpečnostní chyby v implementaci Trusted Platform Module (TPM) verze 2.0. Bulletin AMD-SB-7064 popisuje zranitelnosti, které se týkají „firmwarového“ TPM (fTPM) zabudovaného v procesorech od Ryzen 3000 až po nejnovější řadu 9000, dále Threadripper, serverové EPYC 4004/4005 a četné embedded procesory . Zajímavostí je, že oba objevy jsou dílem bezpečnostních výzkumníků z konkurenčního Intelu .

CVE-2026-6726 — Čtení mimo vymezenou paměť a zneužití slotů objektů

• Typ: Zranitelnost typu out-of-bounds read v referenčním kódu TPM 2.0 .
• CVSS skóre: 8,5 (CVSS v4.0, High) — Vektor: CVSS:4.0/AV:L/AC:L/AT:P/PR:H/UI:N/VC:H/VI:H/VA:N/SC:H/SI:H/SA:N ; 7,9 (CVSS v3.1, High) — Vektor: CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:N .
• Podmínky přístupu: Lokální útočník se zvýšenými oprávněními (PR:H), který může z uživatelských aplikací posílat do TPM škodlivé příkazy .
• Dopad: Únik informací umožňující útočníkovi získat přihlašovací údaje z certifikační autority (CA) podporující TPM pro padělaný TPM klíč (např. Attestation Key, DevID Key, TLS autentizační klíč). To může vést k padělání šifrovacích klíčů TPM a dalších mechanismů založených na TPM .

CVE-2026-6727 — Časový postranní kanál v RSA OAEP dešifrování

• Typ: Časový postranní kanál (timing side-channel) v implementaci RSA OAEP dešifrování .
• CVSS skóre: 8,3 (CVSS v4.0, High) dle některých zpráv ; 5,9 (CVSS v3.1, Medium) z CISA-ADP — Vektor: CVSS:3.1/AV:L/AC:H/PR:N/UI:N/S:C/C:H/I:N/A:N ; 5,9 (CVSS v3.1, Important) ve výčtu Microsoft Patch Tuesday .
• Podmínky přístupu: Lokální útočník s oprávněními, který má přístup k rozhraní příkazů TPM. Útok není triviální kvůli vysoké složitosti (AC:H) a vyžaduje fyzický nebo místní přístup k systému .
• Dopad: Časové rozdíly lze zneužít k získání informací umožňujících dešifrování textů zašifrovaných k RSA klíčům spravovaným TPM, včetně RSA Endorsement Key (EK), import blobů, credential blobů a session saltů. Za určitých podmínek to může umožnit i padělání TPM 2.0 atestací .

Dotčené produkty

Zranitelnosti postihují mimořádně širokou škálu procesorů AMD:

• Desktop: Ryzen 3000, 4000, 5000, 7000, 8000 a 9000 series
• Mobilní: Ryzen AI 300/400, Ryzen AI Max 300, Ryzen 3000–5000 Mobile series
• Workstation: Ryzen Threadripper PRO (5000WX, 7000WX series) a Threadripper
• Server: EPYC 4004 a 4005 series
• Embedded: Četné rodiny Ryzen Embedded a EPYC Embedded
• Ostatní: Ryzen Z1/Z2 series (procesory pro herní handheldy, např. ASUS ROG Ally)

Časová osa záplat

• Květen–červen 2026: AMD začalo distribuovat opravy firmwaru Platform Initialization (PI) partnerům OEM a výrobcům základních desek. Například aktualizace ComboAM5PI 1.2.0.3k (pro EPYC 4004 a Ryzen 7000/9000) byla vydána 31. května 2026 .
• Do 17. června 2026: Národní databáze zranitelností (NVD) aktualizovala seznamy postižených produktů s verzemi PI balíčků a daty vydání .
• 11.–13. srpna 2026: AMD veřejně zveřejnilo obě chyby v bulletinu AMD-SB-7064. ASUS, MSI, Gigabyte a ASRock v té době již měly k dispozici opravené BIOSy .

Širší kontext srpnového Patch Tuesday

Obě CVEs byly znovu publikovány organizací MITRE a objevily se v srpnovém Patch Tuesday společnosti Microsoft (11. srpna 2026) pod značkou „Windows TPM“ s hodnocením Important . Microsoft však nevydal vlastní bezpečnostní aktualizaci ani článek znalostní báze (KB) pro žádné z těchto CVE — oprava spočívá výhradně v aktualizaci firmwaru TPM (BIOS/UEFI) od výrobce hardwaru . Srpnový Patch Tuesday celkově řešil 421 CVE, přičemž tyto TPM zranitelnosti byly vysoce sledované kvůli širokému záběru produktů AMD a původu objevu (výzkumníci Intelu hlásící chyby v TPM ovlivňující systémy AMD) .

Co by měli uživatelé dělat

Obě zranitelnosti vyžadují lokální přístup s oprávněními, takže riziko pro běžné domácí uživatele je nízké. Firemní zákazníci by však měli upřednostnit aktualizaci BIOSu na sdílených nebo multiuživatelských systémech. Pro zmírnění rizika:

1. Zkontrolujte web výrobce základní desky (ASUS, MSI, Gigabyte, ASRock atd.), zda je k dispozici BIOS odkazující na AMD-SB-7064 nebo ComboAM5PI 1.2.0.3k či novější.
2. Aktualizujte BIOS podle pokynů výrobce.
3. Ověřte, že aktualizace obsahuje opravy platform initialization (PI) datované od května–června 2026 nebo novější.

Poznámka: Pokud používáte notebook nebo hotové PC od značek jako Dell, HP, Lenovo, sledujte jejich web podpory pro aktualizace BIOSu/UEFI.