Falle nelle BMC esposte a migliaia di server a backdoor remoti

Migliaia di server connessi a Internet di importanti produttori sono vulnerabili ad attacchi backdoor remoti a causa di bug critici nei controller di gestione della scheda madre, secondo una ricerca presentata alla conferenza sulla sicurezza Black Hat il 5 agosto 2026. Le falle, alcune vecchie di oltre un decennio, consentono agli aggressori di ottenere un accesso profondo e persistente ai data center.

I controller di gestione della scheda madre, o BMC, sono mini-computer integrati nelle schede madri dei server che eseguono il proprio firmware e stack di rete, consentendo agli amministratori di gestire i server da remoto anche quando sono spenti. I ricercatori avvertono dal 2013 che i BMC rappresentano un bersaglio primario per gli hacker, ma le nuove scoperte mostrano che molte vulnerabilità rimangono non corrette.

HD Moore, CEO e fondatore della società di sicurezza runZero, ha scoperto più di una dozzina di nuove vulnerabilità nei BMC di HPE, Supermicro, Avocent, Huawei, Lenovo, Dell e altri. Ha anche scoperto che alcune debolezze da lui segnalate nel 2013 sono ancora attive nonostante i tentativi di correzione. Moore ha dichiarato che il risultato è una superficie di attacco pervasiva e poco monitorata, esposta a Internet e diffusa nelle reti aziendali.

Per quantificare la minaccia, Moore ha condotto due scansioni su larga scala. Una scansione esterna ha trovato oltre 86.000 BMC che espongono un servizio di gestione al pubblico, con più del 54% contenente una o più vulnerabilità critiche. Fino a 75.000 sono rimasti vulnerabili a CVE-2013-4786, una falla nel protocollo di autenticazione IPMI 2.0 che consente il cracking offline delle password. Una scansione interna di 126.761 BMC ha trovato quasi il 29% con vulnerabilità critiche.

Le nuove classi di bug scoperti includono falle nell'handshake di autenticazione IPMI che bypassano l'autenticazione, mancata applicazione di integrità e crittografia in sessione, identificatori di sessione prevedibili, corruzioni di memoria pre-autenticazione nel servizio SSH, firmware non firmato o controllabile dall'attaccante e segreti recuperabili dal firmware usati come credenziali vive. I fornitori interessati includono HPE, Supermicro, Intel, OpenBMC, Nvidia, H3C, Dell e Huawei.

Moore ha rilasciato uno strumento open-source chiamato OOBscan per aiutare gli amministratori a rilevare le vulnerabilità. Ha sottolineato che i BMC rimangono un rischio sottovalutato, con l'ecosistema in ritardo nella qualità del codice e nell'architettura. Incidenti passati, come l'impianto ILObleed nel 2021 e un avviso CISA su una falla BMC AMI l'anno scorso, sottolineano il pericolo reale di questi attacchi.