AMD TPM-kwetsbaarheden (CVE-2026-6726, CVE-2026-6727): volledige uitleg van twee hoogrisicofouten

Wat is er aan de hand?

AMD heeft in zijn maandelijkse beveiligingsbulletin (AMD-SB-7064) twee hoogrisicokwetsbaarheden in de TPM 2.0-firmware bevestigd. De lekken zitten in de zogenoemde TCG TPM 2.0-referentiecode – de blauwdruk die AMD gebruikt voor zijn Firmware TPM (fTPM). Ze zijn ontdekt door onderzoekers van Intel .

Belangrijk: de fouten zijn alleen via lokale toegang met verhoogde rechten te misbruiken. Vanaf afstand zijn ze niet te bereiken, wat het risico voor thuisgebruikers beperkt. Voor bedrijven met gedeelde of multi-user systemen ligt dat anders.

CVE-2026-6726 — Out-of-bounds read / Misbruik van object-sleuven

• Type: Out-of-bounds read (buiten de grenzen lezen) in de TPM 2.0-referentiecode .
• CVSS-scores: 8.5 (CVSS v4.0, Hoog) en 7.9 (CVSS v3.1, Hoog) .
• Voorwaarden: Een lokale aanvaller met verhoogde rechten (PR:H) kan vanuit een gebruikerstoepassing kwaadaardige commando's naar de TPM sturen .
• Gevolg: Informatielek: de aanvaller kan inloggegevens stelen uit een TPM-certificeringsinstantie (CA) en daarmee een vervalste TPM-sleutel maken (attestatiesleutel, DevID-sleutel of TLS-authenticatiesleutel). Dat maakt het mogelijk om TPM-versleuteling en andere TPM-gebaseerde beveiligingsmechanismen te omzeilen .

CVE-2026-6727 — Timing side-channel in RSA OAEP-ontsleuteling

• Type: Timing side-channel (tijdsverschillen in de uitvoering) in de RSA OAEP-ontsleutelingscode .
• CVSS-scores: 8.3 (CVSS v4.0, Hoog) volgens AMD ; 5.9 (CVSS v3.1, Gemiddeld/Belangrijk) volgens CISA-ADP en Microsoft .
• Voorwaarden: De aanvaller moet fysiek of lokaal op het systeem zitten én toegang hebben tot de TPM-opdrachtinterface. De aanvalscomplexiteit is 'Hoog' (AC:H) .
• Gevolg: Door nauwkeurige timingsmetingen kan de aanvaller informatie terugwinnen waarmee hij versleutelde berichten kan ontsleutelen die naar door de TPM beheerde RSA-sleutels zijn gestuurd. Denk aan de RSA Endorsement Key (EK), import blobs, credential blobs en sessiezouten. Onder bepaalde omstandigheden is ook vervalsing van TPM 2.0-attestaties mogelijk .

Welke processors zijn getroffen?

De lijst is uitzonderlijk breed en omvat vrijwel alle moderne AMD-chips :

Categorie	Modellen
Desktop	Ryzen 3000, 4000, 5000, 7000, 8000, 9000 series
Laptop	Ryzen AI 300/400, Ryzen AI Max 300, Ryzen 3000–5000 Mobile
Workstation	Threadripper PRO (5000WX, 7000WX) en Threadripper
Server	EPYC 4004, 4005 series
Embedded	Meerdere Ryzen Embedded en EPYC Embedded families
Apparaten	Ryzen Z1/Z2 (handheld gaming-pc's)

Wanneer zijn de reparaties gekomen?

• Mei–juni 2026: AMD begon met het verspreiden van Platform Initialization (PI)-firmwarefixes naar OEM's en moederbordfabrikanten. Zo verscheen de ComboAM5PI 1.2.0.3k-update (voor EPYC 4004 en Ryzen 7000/9000) op 31 mei 2026 .
• Rond 17 juni 2026: De Amerikaanse National Vulnerability Database (NVD) werkte de getroffen productlijsten bij met PI-pakketversies .
• 11–13 augustus 2026: AMD maakte de lekken openbaar via AMD-SB-7064. ASUS, MSI, Gigabyte en ASRock hadden op dat moment al gepatchte BIOS-versies klaar .

Let op: Microsoft heeft geen losse Windows-update of KB-artikel voor deze CVEs uitgebracht. De reparatie zit alleen in de TPM-firmware (BIOS/UEFI). Een Windows-update alleen is dus niet voldoende .

Wat moet je doen?

Omdat de lekken lokale, geprivilegieerde toegang vereisen, is het risico voor thuisgebruikers laag. Maar in bedrijfsomgevingen – waar meerdere gebruikers toegang hebben tot dezelfde machine – is snel handelen gewenst.

Stappen:

1. Controleer of er een nieuwe BIOS-versie is voor je moederbord. Ga naar de website van ASUS, MSI, Gigabyte, ASRock of een andere fabrikant.
2. Zoek in de release notes naar 'AMD-SB-7064', 'CVE-2026-6726' of 'ComboAM5PI 1.2.0.3k' of later.
3. Voer de BIOS-update uit volgens de instructies van de fabrikant.
4. Controleer of de update de PI-fixes van mei–juni 2026 of later bevat.

Context van Patch Tuesday augustus 2026

Beide CVEs verschenen op 11 augustus 2026 in Microsofts maandelijkse Patch Tuesday-overzicht. Ze kregen het label 'Windows TPM' en een classificatie 'Belangrijk' . Die Patch Tuesday telde in totaal 421 CVEs . De TPM-lekken waren opvallend vanwege de grote hoeveelheid getroffen AMD-producten en omdat Intel-onderzoekers de fouten hadden gemeld .