ثغرات BMC تعرض آلاف الخوادم لهجمات خلفية عن بُعد

كشفت أبحاث عُرضت في مؤتمر بلاك هات للأمن السيبراني في 5 أغسطس 2026 أن آلاف الخوادم المتصلة بالإنترنت من مصنّعين كبار معرضة لهجمات خلفية عن بُعد بسبب ثغرات حرجة في وحدات التحكم في اللوحة الأم (BMC). بعض هذه الثغرات عمره يتجاوز عقدًا من الزمن، وتسمح للمهاجمين بالوصول العميق والمستمر إلى مراكز البيانات.

وحدات التحكم في اللوحة الأم (BMC) هي حواسيب مصغرة مدمجة في اللوحات الأم للخوادم، تعمل بنظام تشغيل خاص بها ومكدس شبكة مستقل، مما يتيح للمسؤولين إدارة الخوادم عن بُعد حتى عند إيقاف تشغيلها. وقد حذّر الباحثون منذ عام 2013 على الأقل من أن وحدات BMC تمثل هدفًا رئيسيًا للقراصنة، لكن النتائج الجديدة تُظهر أن العديد من الثغرات ما زالت دون تصحيح.

اكتشف إتش دي مور، الرئيس التنفيذي ومؤسس شركة الأمن runZero، أكثر من اثنتي عشرة ثغرة جديدة في وحدات BMC من إتش بي إي، وسوبرميكرو، وأفوسنت، وهواوي، ولينوفو، وديل، وغيرها. كما وجد أن بعض نقاط الضعف التي أشار إليها في عام 2013 ما زالت نشطة رغم محاولات الإصلاح. وقال مور إن النتيجة هي سطح هجوم واسع الانتشار وضعيف المراقبة، وهو مكشوف على الإنترنت ومنتشر داخل شبكات الشركات.

لتحديد حجم التهديد، أجرى مور مسحين واسعي النطاق. كشف مسح خارجي عن أكثر من 86 ألف وحدة BMC تعرض خدمة إدارة للجمهور، مع وجود ثغرات حرجة في أكثر من 54% منها. وما زال ما يصل إلى 75 ألفًا عرضة لثغرة CVE-2013-4786، وهي ثغرة في بروتوكول المصادقة IPMI 2.0 تتيح كسر كلمات المرور دون اتصال. كما وجد مسح داخلي لـ 126,761 وحدة BMC أن ما يقرب من 29% منها بها ثغرات حرجة.

تشمل فئات الثغرات المكتشفة حديثًا عيوبًا في مصافحة مصادقة IPMI تتجاوز المصادقة، وفشلًا في فرض التكامل والتشفير أثناء الجلسة، ومعرّفات جلسات يمكن التنبؤ بها، وتلفًا في الذاكرة قبل المصادقة في خدمة SSH، وبرامج ثابتة غير موقعة أو يمكن التحكم فيها من قبل المهاجم، وأسرارًا يمكن استخراجها من البرامج الثابتة واستخدامها كبيانات اعتماد حية. ويشمل المصنعون المتأثرون إتش بي إي، وسوبرميكرو، وإنتل، وأوبن بي إم سي، ونفيديا، وإتش ثري سي، وديل، وهواوي.

أصدر مور أداة مفتوحة المصدر باسم OOBscan لمساعدة المسؤولين على اكتشاف الثغرات. وأكد أن وحدات BMC ما زالت خطرًا غير مُقدَّر، حيث يتخلف النظام البيئي في جودة الكود والبنية. الحوادث السابقة، مثل زرع ILObleed في عام 2021 وتنبيه CISA بشأن ثغرة AMI BMC العام الماضي، تؤكد الخطر الحقيقي لهذه الهجمات.