Cacat BMC Buka Ribuan Server ke Serangan Backdoor Jarak Jauh

Ribuan server yang terhubung internet dari produsen besar rentan terhadap serangan backdoor jarak jauh akibat bug kritis pada pengontrol manajemen papan dasar (BMC), menurut riset yang dipresentasikan di konferensi keamanan Black Hat pada 5 Agustus 2026. Cacat ini, beberapa di antaranya berusia lebih dari satu dekade, memungkinkan penyerang mendapatkan akses mendalam dan persisten ke pusat data.

BMC adalah komputer mini yang tertanam di motherboard server, menjalankan firmware dan tumpukan jaringan sendiri, sehingga administrator dapat mengelola server dari jarak jauh bahkan saat server mati. Para peneliti telah memperingatkan sejak setidaknya 2013 bahwa BMC adalah target utama peretas, tetapi temuan baru menunjukkan banyak kerentanan masih belum ditambal.

HD Moore, CEO dan pendiri perusahaan keamanan runZero, menemukan lebih dari selusin kerentanan baru di BMC dari HPE, Supermicro, Avocent, Huawei, Lenovo, Dell, dan lainnya. Ia juga menemukan bahwa beberapa kelemahan yang ia tandai pada 2013 masih aktif meskipun sudah ada upaya perbaikan. Moore mengatakan hasilnya adalah permukaan serangan yang luas dan kurang terpantau, yang terpapar internet dan tersebar luas di dalam jaringan perusahaan.

Untuk mengukur ancaman ini, Moore melakukan dua pemindaian skala besar. Pemindaian eksternal menemukan lebih dari 86.000 BMC yang membuka layanan manajemen ke publik, dengan lebih dari 54 persen mengandung satu atau lebih kerentanan kritis. Sebanyak 75.000 masih rentan terhadap CVE-2013-4786, cacat pada protokol autentikasi IPMI 2.0 yang memungkinkan peretasan kata sandi secara offline. Pemindaian internal terhadap 126.761 BMC menemukan hampir 29 persen memiliki kerentanan kritis.

Kelas bug yang baru ditemukan mencakup cacat pada jabat tangan autentikasi IPMI yang melewati autentikasi, kegagalan menegakkan integritas dan enkripsi dalam sesi, pengidentifikasi sesi yang dapat diprediksi, kerusakan memori pra-autentikasi di layanan SSH, firmware yang tidak ditandatangani atau dapat dikendalikan penyerang, serta rahasia yang dapat dipulihkan dari firmware yang digunakan sebagai kredensial langsung. Vendor yang terdampak termasuk HPE, Supermicro, Intel, OpenBMC, Nvidia, H3C, Dell, dan Huawei.

Moore telah merilis alat sumber terbuka bernama OOBscan untuk membantu administrator mendeteksi kerentanan ini. Ia menekankan bahwa BMC tetap menjadi risiko yang diremehkan, dengan ekosistem yang tertinggal dalam kualitas kode dan arsitektur. Insiden masa lalu, seperti implant ILObleed pada 2021 dan peringatan CISA tentang cacat BMC AMI tahun lalu, menggarisbawahi bahaya nyata dari serangan ini.