AMD hat am 10. November 2026 eine Schwachstelle in der Speicherisolierung geschützter virtueller Maschinen auf EPYC-Servern offengelegt. CVE-2026-40671 betrifft die Sicherheitsfunktion SEV-SNP und kann einem bereits privilegierten Angreifer unter bestimmten Bedingungen Registerdaten eines Gastsystems zugänglich machen. Für mehrere EPYC-Generationen sind aktualisierte Plattform-Firmwares erst für November vorgesehen; bei eingebetteten Varianten reichen die Zeitpläne teilweise bis April 2027.
Betreiber von Virtualisierungshosts und vertraulichen Cloud-Workloads sollten ihre betroffenen Servermodelle, Microcode-Stände und Hersteller-Firmwarepläne prüfen. Eine allgemein verfügbare BIOS-Datei für sämtliche EPYC-Systeme nennt AMD nicht.
Datenabfluss durch fehlerhafte VMRUN-Behandlung
Nach AMDs Beschreibung wird bei der Behandlung eines Fehlers des Prozessorbefehls VMRUN der Zustand bestimmter Register nicht vollständig bereinigt. Über einen Seitenkanalangriff aus der Familie der Transient Scheduler Attacks (TSA) könnten dadurch Teile des Registerzustands einer mit Secure Encrypted Virtualization – Secure Nested Paging (SEV-SNP) geschützten virtuellen Maschine offengelegt werden.
Das betrifft insbesondere den Schutz von Gastdaten gegenüber der privilegierten Umgebung des Virtualisierungshosts. AMD bewertet die Schwachstelle mit CVSS 4.0: 4,9. Der Hersteller beschreibt keinen gewöhnlichen Fernangriff ohne bestehende Berechtigungen: Das ausgewiesene Angriffsszenario setzt privilegierten lokalen Zugriff voraus. Die Meldung belegt auch keine pauschale Entschlüsselung des gesamten Arbeitsspeichers einer VM.
Fünf EPYC-Familien mit geplanten Firmware-Korrekturen
Das Bulletin nennt EPYC 7003, 8004, 8005, 9004 und 9005. Die vorgesehenen Platform-Initialization-Stände lauten je nach Produktfamilie unterschiedlich; eine einzige BIOS-Versionsnummer für alle Systeme gibt es nicht.
- EPYC 7003: MilanPI-SP3_1.0.0.L.
- EPYC 8004 und 9004: Genoa_100J Patch 3.
- EPYC 8005 und 9005: TurinPI_1.0.0.C.
Für diese fünf Produktfamilien nennt AMD November 2026 als geplanten Zeitpunkt der Bereitstellung der jeweiligen PI-Firmware an Gerätehersteller. Ein solches Zieldatum bedeutet nicht, dass das entsprechende fertige BIOS oder UEFI bereits für jedes konkrete Servermodell zum Download steht.
Microcode ist nicht dasselbe wie ein fertiges Server-BIOS
Die von AMD dokumentierten zugehörigen Microcode-Korrekturen tragen für die genannten EPYC-Familien den Freigabetermin 12. August 2026. In der Praxis müssen Administratoren den eingesetzten Prozessorstepping- und Microcode-Stand sowie das BIOS/UEFI des jeweiligen OEMs getrennt ermitteln. Aus einer veröffentlichten AMD-Microcode-Version allein folgt nicht, dass ein konkreter Server alle in der Warnung genannten Maßnahmen bereits enthält.
Für die AMD Instinct MI300A ist außerdem der Patchstand 0x0A900110 mit Datum 21. September 2026 aufgeführt. Diese Acceleratoren sind gesondert von gewöhnlichen EPYC-Serverprozessoren zu betrachten.
Embedded-Modelle teilweise erst 2027 an der Reihe
Für die eingebetteten EPYC-Familien ist der Zeitplan deutlich später: AMD plant eine Korrektur für EPYC Embedded 7003 im Januar 2027, für Embedded 9005 im Februar 2027 sowie für Embedded 8004 und 9004 im April 2027. Konkrete Versionsnummern stehen dort noch nicht fest.
Gerade bei langlebigen Appliance-, Industrie- und Edge-Systemen ist deshalb eine Rückfrage beim jeweiligen Geräteanbieter wichtig. Die Verfügbarkeit eines Microcodes oder einer allgemeinen PI-Version darf nicht mit einer getesteten und freigegebenen Geräte-Firmware gleichgesetzt werden.
Sicherheitsinformationen und Firmware
AMD dokumentiert betroffene Prozessorfamilien, geplante Firmware-Stände und Termine im offiziellen Sicherheitsbulletin AMD-SB-3061. Eine gleichwertige deutschsprachige Fassung des Detailbulletins war zum Recherchezeitpunkt nicht verfügbar.
Ein herstellerübergreifender Direktdownload existiert für diese BIOS/UEFI-Aktualisierung nicht: Benötigt wird eine zur exakten Server- oder Appliance-Modellnummer passende Freigabe des jeweiligen OEMs. Betreiber sollten dazu dessen Support- und Sicherheitsportal prüfen, bereits eingespielte Firmwarestände dokumentieren und eine Aktualisierung nach den eigenen Wartungs- und Verfügbarkeitsvorgaben planen.
Werbung
(**) UVP: Unverbindliche Preisempfehlung
Preise inkl. MwSt., zzgl. Versandkosten