Intel-Server D50DNP und M50FCP: Fünf UEFI-Lücken trotz Supportende

Intel hat am 10. November 2026 fünf Sicherheitslücken in der UEFI-Firmware der Serverboard-Familien D50DNP und M50FCP offengelegt. Drei Schwachstellen können unter hohen Angriffsvoraussetzungen eine Ausweitung von Berechtigungen ermöglichen, zwei weitere die Offenlegung von Informationen. Betroffen sind BIOS-Versionen vor R01.02.0006; diese Version ist bereits als Update erhältlich.

Die Warnung betrifft bestimmte Intel-Serverplattformen, nicht Intel-Prozessoren oder gewöhnliche Desktop-PCs allgemein. Betreiber der beiden Boardfamilien sollten den installierten Firmwarestand gegen das Sicherheitsbulletin INTEL-SA-01554 abgleichen.

Drei Schwachstellen mit hoher Bewertung

Nach dem Intel-Sicherheitshinweis INTEL-SA-01554 handelt es sich bei CVE-2026-56435, CVE-2026-57882 und CVE-2026-57891 um Schreibzugriffe außerhalb vorgesehener Speichergrenzen in der UEFI-Komponente XmlCliCommonDxe. Intel bewertet alle drei mit 8,7 nach CVSS 4.0. Unter den beschriebenen Voraussetzungen könnte ein bereits privilegierter lokaler Angreifer seine Möglichkeiten erweitern.

Bei CVE-2026-55716 und CVE-2026-50249 geht es um Lesezugriffe außerhalb vorgesehener Speicherbereiche in den Firmwarekomponenten CheckUefiVgaMode beziehungsweise GenerationSetup. Intel bewertet sie jeweils mit 5,6 nach CVSS 4.0 und nennt die mögliche Preisgabe von Informationen. Die Angriffsbeschreibungen setzen insbesondere privilegierte lokale Zugriffsmöglichkeiten und eine hohe Komplexität voraus; die Meldung beschreibt keinen unkomplizierten Fernangriff aus dem Internet.

Betroffen sind D50DNP und M50FCP vor R01.02.0006

Intel nennt ausdrücklich die Server Board D50DNP und Server Board M50FCP. Für beide gilt R01.02.0006 oder eine höhere vom Hersteller freigegebene Firmware als korrigierter Stand. Entscheidend ist die tatsächlich verbaute Boardfamilie; ein beliebiges BIOS-Paket für andere Intel-Server darf nicht verwendet werden.

Bemerkenswert ist der zeitliche Abstand: Die deutschen Intel-Downloadseiten führen R01.02.0006 mit dem Datum 7. Juli 2026. Der Sicherheitshinweis wurde erst am 10. November 2026 veröffentlicht. Das Update ist damit nicht erst im November entstanden. Administratoren, die das Paket bereits vor der Veröffentlichung installiert haben, sollten den Versionsstand kontrollieren, statt eine neuere November-Firmware zu erwarten.

Download und Update

D50DNP: Offizielles UEFI-BIOS-/Firmwarepaket R01.02.0006; alternativ stellt Intel ein System-Firmware-Updatepaket für Windows und Linux bereit.

M50FCP: Offizielles UEFI-BIOS-/Firmwarepaket R01.02.0006; für eine Aktualisierung über unterstützte Betriebssystemumgebungen gibt es das System-Firmware-Updatepaket für Windows und Linux.

Die Pakete enthalten neben dem System-BIOS auch weitere Firmwarekomponenten, beispielsweise Management Engine und Baseboard Management Controller. Intel nennt für die Installation Mindeststände bereits vorhandener BIOS-, BMC- und CPLD-Versionen. Vor der Aktualisierung sind deshalb die Readme-Dateien und gerätespezifischen Updateanweisungen maßgeblich. Das Update darf nicht durch einen Neustart oder eine Stromunterbrechung unterbrochen werden.

Supportende erhöht den Handlungsdruck

Intel weist auf den Produkt-Supportseiten darauf hin, dass seit dem 15. Oktober 2026 für diese Serverfamilien keine neuen Funktions- oder Sicherheitsupdates mehr bereitgestellt werden. Der Hersteller empfiehlt dort, die Nutzung der betroffenen Produktfamilien möglichst zu beenden. Bereits vorhandene Firmwarepakete wie R01.02.0006 werden nach diesen Angaben noch bis zum 15. Oktober 2034 zum Download angeboten.

Für den laufenden Betrieb ergibt sich damit eine zweigeteilte Aufgabe: R01.02.0006 installieren beziehungsweise nachweisen und die mittelfristige Ablösung der Serverhardware einplanen. Die Veröffentlichung des Sicherheitsbulletins nach dem Ende der regulären Versorgung ist keine Zusage für weitere künftige Fehlerkorrekturen.