AMD waarschuwt voor twee ernstige kwetsbaarheden in de firmware-TPM van een groot aantal Ryzen-processors. Moederbordfabrikanten hebben inmiddels BIOS-updates uitgebracht die de problemen verhelpen. Voor gebruikers van Windows 11 is het vooral belangrijk om te controleren of hun systeem over de nieuwste firmware beschikt.
TPM 2.0 kwetsbaar
Het gaat om de kwetsbaarheden CVE-2026-6726 en CVE-2026-6727, die AMD op 11 augustus bekendmaakte. De problemen zitten in de TPM 2.0-referentiecode van de Trusted Computing Group en treffen de firmware-TPM (fTPM) van veel AMD-processors.
Een aanvaller die al toegang heeft tot een systeem en over voldoende rechten beschikt, kan onder bepaalde omstandigheden gegevens uit de TPM uitlezen of de betrouwbaarheid van TPM-controles ondermijnen. De kwetsbaarheden hebben een hoge ernstscore van 8,5 en 8,3 op een schaal van tien.
Tot de getroffen processors behoren onder meer Ryzen 3000 tot en met Ryzen 9000 en verschillende Ryzen AI- en Threadripper-processors. AMD heeft de benodigde firmware al aan fabrikanten geleverd. ASUS, MSI, GIGABYTE en andere moederbordfabrikanten hebben inmiddels BIOS-updates uitgebracht.
Windows 11
De kwestie is extra relevant voor Windows 11-gebruikers. Microsoft stelt TPM 2.0 als onderdeel van de hardware-eisen voor Windows 11. TPM wordt daarnaast gebruikt voor beveiligingsfuncties zoals BitLocker en Windows Hello.
Dat betekent niet dat Windows 11 door deze kwetsbaarheid ineens onveilig is. Wel kan een kwetsbare TPM de beveiligingsfuncties die erop vertrouwen aantasten. Zo kan het uitlekken van TPM-gegevens gevolgen hebben voor cryptografische sleutels en kan het uitschakelen van de TPM ervoor zorgen dat functies zoals BitLocker niet meer normaal werken.
BIOS-update controleren
AMD adviseert gebruikers om bij de fabrikant van hun pc, laptop of moederbord te controleren of een BIOS- of UEFI-update beschikbaar is. De oplossing zit namelijk in de firmware en niet in een gewone Windows-update.
Wat betekent dit voor HCC-leden?
Heb je een AMD Ryzen-pc met Windows 11, controleer dan bij de fabrikant van het moederbord of de computer of er een recente BIOS-update beschikbaar is. Vooral gebruikers van Ryzen 3000 tot en met 9000 doen er goed aan dit te controleren. Een BIOS-update moet altijd precies overeenkomen met het gebruikte moederbord of systeem.
Voor thuisgebruikers is het directe risico beperkt, omdat een aanvaller al toegang tot het systeem en verhoogde rechten nodig heeft. Toch is het verstandig de firmware-update uiteindelijk wel te installeren, zeker wanneer TPM wordt gebruikt voor bijvoorbeeld BitLocker.
Standpunt van HCC
HCC vindt het belangrijk dat gebruikers beseffen dat beveiligingsupdates verder gaan dan Windows alleen. Ook BIOS, UEFI en firmware van beveiligingscomponenten zoals TPM maken deel uit van de beveiliging van een moderne computer.
Deze kwetsbaarheid laat bovendien zien waarom het verstandig is BIOS-updates niet automatisch over te slaan. Tegelijkertijd hoeft een gebruiker niet in paniek te raken: controleer eerst of er voor het eigen systeem een passende update beschikbaar is en installeer die vervolgens volgens de instructies van de fabrikant.
