Viele Systeme mit Prozessoren von AMD und Intel sind über eine gemeinsame Komponente verwundbar: über das Trusted Platform Module, das bei modernen Prozessoren auf einem abgeschotteten Mikrocontroller-Kern als Firmware läuft (fTPM 2.0). Das Firmenkonsortium Trusted Computing Group liefert fTPM-2.0-Referenzcode, den unter anderem AMD und Intel in ihre BIOS-Versionen integrieren. Beide Firmen sind Teil der Gruppe.
Früherer Referenzcode wies schwerwiegende Mängel auf, welche die Trusted Computing Group selbst gemeldet hat. Daraus ergeben sich zwei Sicherheitslücken: CVE-2026-6726 und CVE-2026-6727. Im verbreiteten Common Vulnerability Scoring System (CVSS) weisen die Lücken hohe Schweregrade von 8,5 und 8,3 auf.
Ein Trusted Platform Module steht am Beginn der Vertrauenskette (Root of Trust) von Servern, Desktop-PCs und Notebooks. Im TPM sind kryptografische Schlüssel gespeichert, über deren Abgleich Systeme etwa die Echtheit des aufgespielten UEFI-BIOS sicherstellen. Windows nutzt das TPM für die Bitlocker-Verschlüsselung. Sicherheitslücken ermöglichen tiefgehende Änderungen am System.
Hohe Hürden für Angreifer
Die gute Nachricht: Zur Ausnutzung ist lokaler Zugriff mit privilegierten Rechten notwendig. Damit sind die Sicherheitslücken für Privatnutzer von wenig Belang. Relevant sind sie etwa in Unternehmen: Angreifer könnten ein Notebook kompromittieren, es als sicheres Firmengerät ausgeben und sich so in das gesamte Unternehmensnetzwerk einnisten.
