Дві критичні уразливості TPM у процесорах AMD: що відомо та як захиститися

CVE-2026-6727 — Побічний канал часу в дешифруванні RSA OAEP

• Тип: Побічний канал часу в реалізації дешифрування RSA OAEP .
• Оцінки CVSS: 8.3 (CVSS v4.0, Високий) згідно з деякими звітами ; 5.9 (CVSS v3.1, Середній) від CISA-ADP — Вектор: CVSS:3.1/AV:L/AC:H/PR:N/UI:N/S:C/C:H/I:N/A:N ; 5.9 (CVSS v3.1, Важливий) у списку Microsoft Patch Tuesday .
• Умови доступу: Привілейований локальний атакуючий з доступом до інтерфейсу команд TPM. Атака нетривіальна через "Високу" складність (AC:H) і потребує фізичного або локального доступу до системи .
• Вплив: Різниця в часі виконання може бути використана для відновлення інформації, яка дозволяє дешифрувати зашифровані тексти, зашифровані для керованих TPM ключів RSA, включаючи кореневий ключ RSA (EK), імпортні блоки, облікові блоки та сесійні солі. За певних умов це також може дозволити підробку атестацій TPM 2.0 .

Уражені продукти

Уразливості охоплюють надзвичайно широкий спектр процесорів AMD:

• Настільні: Ryzen 3000, 4000, 5000, 7000, 8000 та 9000 серій
• Мобільні: Ryzen AI 300/400, Ryzen AI Max 300, Ryzen 3000–5000 Mobile серій
• Робочі станції: Ryzen Threadripper PRO (5000WX, 7000WX серії) та Threadripper
• Серверні: EPYC 4004 та 4005 серій
• Вбудовані: Численні сімейства Ryzen Embedded та EPYC Embedded
• Інші: Ryzen Z1/Z2 серій (процесори для портативних ігрових ПК)

Часова шкала виправлень

• Травень–червень 2026 року: AMD почала розповсюджувати виправлення мікропрограми Platform Initialization (PI) серед партнерів OEM та виробників материнських плат. Наприклад, оновлення ComboAM5PI 1.2.0.3k (для EPYC 4004 та Ryzen 7000/9000 серій) було випущено 31 травня 2026 року .
• До 17 червня 2026 року: Записи NVD були оновлені зі списками уражених продуктів та версіями пакетів PI .
• 11–13 серпня 2026 року: AMD публічно розкрила обидві уразливості через AMD-SB-7064; ASUS, MSI, Gigabyte та ASRock вже випустили виправлені оновлення BIOS .

Контекст серпневого Patch Tuesday

Обидві CVE були перевидані MITRE та з'явилися в серпневому Patch Tuesday від Microsoft (11 серпня 2026 року) з тегом "Windows TPM" та оцінкою Important . Однак Microsoft не випустила оновлення безпеки або статтю бази знань для цих CVE — лише оновлення мікропрограми TPM (BIOS/UEFI) від виробника обладнання усуває проблему . Серпневий Patch Tuesday загалом охопив 421 CVE, причому ці уразливості TPM були одними з найпомітніших через широкий спектр продуктів AMD та походження відкриття (дослідники Intel повідомили про помилки TPM, які вражають системи AMD) .

Що робити користувачам

Обидві уразливості вимагають локального привілейованого доступу, тому ризик для домашніх користувачів невисокий, але корпоративні клієнти повинні першочергово оновлювати BIOS на спільних або багатокористувацьких системах. Щоб зменшити ризик:

1. Перевірте веб-сайт виробника вашої материнської плати (ASUS, MSI, Gigabyte, ASRock тощо) на наявність оновлення BIOS, яке посилається на AMD-SB-7064 або ComboAM5PI 1.2.0.3k чи новішу версію.
2. Застосуйте оновлення BIOS відповідно до інструкцій виробника.
3. Переконайтеся, що оновлення включає виправлення платформи ініціалізації (PI) датовані травнем–червнем 2026 року або пізніше.