Dell BIOS の脆弱性 CVE-2026-40639 が FIX：Admin パスワードの復元の恐れ

Dell BIOS Flaw Lets Attackers Recover Admin Passwords From SPI Flash in Milliseconds

2026/07/11 CyberSecurityNews — Dell が公表したのは、BIOS 管理者およびユーザーのパスワードを保存する方法に存在する、深刻な脆弱性に関する情報である。この脆弱性を悪用する攻撃者は、ブルートフォースを必要とせず、フラッシュ・ダンプからミリ秒単位で完全なパスワードの復元が可能となる。この脆弱性 CVE-2026-40639 (DSA-2026-197) は、適切な暗号学的ハッシュではなく、破綻した XOR 暗号化スキームに起因する。

Dell における BIOS パスワードの保存は、SPI フラッシュ・チップの DVAR (Dell Variable) 領域に対して行われる。

そこでは、32 バイトのフィールドに対して、反復する 20 バイトの XOR キーを適用した暗号化が行われるため、パスワードの先頭文字は完全に暗号化されない状態で保存される。

そのため、12 文字以下のパスワードでは、32 バイト・フィールドの未使用部分である NULL パディングされた末尾が、ゼロに対して XOR されることになり、その結果として、生のキーのバイトが露出する。このキーは 20 バイトに過ぎないが、フィールドは 32 バイトである。この不一致により、レコードからキー全体が直接漏えいし、攻撃者は即座にパスワードを復元できる。

より長いパスワードでは、小さなブラインド・ゾーンが残るが、研究者が発見したのは、それを回避する方法である。Dell のキー導出は、固定されたデバイスごとのシード／GUID／暗号化されていないパスワードの、先頭 1 文字だけを使用している。

Dell BIOS の欠陥によりパスワード復元が可能に

それが意味するのは、デバイスごとに利用できるキーが、256 個に制限されることだ。さらに、古い削除済みの DVAR レコードは安全に消去されないため、多くのケースにおいて攻撃者は、以前の短いパスワードを復元し、そのキーを抽出し、同じ先頭文字を持つ長いパスワードに適用できる。

この欠陥は、MDSec の Craig S. Blackie と AmberWolf の Darren McDonald により発見された。この二人の両研究者は、今回の件とは無関係の、起動前 DMA 脆弱性について Dell UEFI ファームウェアを調査していた。

この問題は、Dell クライアント・プラットフォーム全体で広く使用されている SystemPwSmm SMM ドライバに影響を及ぼす。具体的には、Latitude E7250／Latitude 7490／XPS 15 9560 で確認されており、現時点でサポート対象である Wyse 5070 シンクライアントにも影響するが、この製品にはパッチが提供されていない。

また、OptiPlex 3000 などの新しいモデルは、適切な SHA-256 ベースの SIVB vault を使用しているため脆弱ではない。それが示すのは、Dell は修正のための手段を有しているが、すべての製品に展開されていないことである。

BIOS パスワードにより、Secure Boot／ブート順序／起動前 DMA 保護が制御されることが多い。したがって、それらが復元されてしまうと、特に TPM ポリシーが関連する全設定を測定していない環境では、フルディスク暗号化をバイパスする経路が開かれる可能性がある。

この攻撃の前提条件としては、クリップとプログラマを用いたフラッシュ・チップへの物理アクセスや、攻撃者が制御する OS の起動が必要となる。その一方で、認証やユーザー操作は不要である。

2026年3月の時点で、研究者から Dell へと、この問題は非公開で報告された。Dell は調査結果を検証し、2026年6月9日に DSA-2026-197 を発行した。そして同社は、Edge Gateway／Embedded PC／Precision／Rugged Latitude の各ラインを含む、初期のプラットフォーム群にパッチを適用した。今後における、追加の修正は 2026年7月末が目標となっている。特筆すべきことに、このアドバイザリは、前述の Wyse 5070 などの複数のデバイスを対象に取り込んでいない。

研究者と Dell は、CVSS スコアに対して異なる見解を持っている。Dell は 5.7 と評価している一方で、研究者は攻撃の複雑度に関する見方の違いに基づき、6.1 が妥当だと主張している。

研究者が Dell に対して求めるのは、すべてのプラットフォームをソルト付きの反復パスワード・ハッシュへと移行させ、過去の DVAR レコードを安全に消去することである。さらに、防御側に対して推奨されるのは、BIOS パスワードだけに依存せずに、暗号化されたブートチェーンを保護することである。

訳者後書：Dell の開発したクライアント・デバイスにおける BIOS 機能ですが、管理者などのパスワードを保存する際、セキュリティ・レベルの低い暗号方式が採用されていたことが判明しました。これにより、物理的にフラッシュ・メモリのデータを読み取られ、OS の管理者権限を奪われた際に、わずか数ミリ秒でパスワードが特定されてしまう危険性があります。この脆弱性 CVE-2026-40639 に対応するためには、利用中の対象機器に対して Dell が提供する最新のファームウェア・アップデートを速やかに適用する必要があります。あわせて、万が一に備え、BIOS パスワードの設定のみに頼るのではなく、OS 側のディスク暗号化や多要素での起動保護を組み合わせる、多層防御が重要になります。