BMC açıkları binlerce sunucuyu uzaktan arka kapı saldırılarına maruz

Black Hat güvenlik konferansında 5 Ağustos 2026'da sunulan araştırmaya göre, büyük üreticilerin internete bağlı binlerce sunucusu, anakart yönetim denetleyicilerindeki kritik hatalar nedeniyle uzaktan arka kapı saldırılarına açık durumda. Bazıları on yıldan eski olan bu açıklar, saldırganların veri merkezlerine derin ve kalıcı erişim sağlamasına olanak tanıyor.

Anakart yönetim denetleyicileri (BMC), sunucu anakartlarına gömülü, kendi donanım yazılımını ve ağ yığınını çalıştıran minik bilgisayarlardır; yöneticilerin sunucuları kapalı olsa bile uzaktan yönetmesini sağlar. Araştırmacılar en az 2013'ten beri BMC'lerin bilgisayar korsanları için birincil hedef olduğu konusunda uyarıyor, ancak yeni bulgular birçok açığın hâlâ kapatılmadığını gösteriyor.

runZero güvenlik firmasının CEO'su ve kurucusu HD Moore, HPE, Supermicro, Avocent, Huawei, Lenovo, Dell ve diğerlerinin BMC'lerinde bir düzineden fazla yeni açık keşfetti. Ayrıca 2013'te işaret ettiği bazı zayıflıkların, düzeltme girişimlerine rağmen hâlâ aktif olduğunu buldu. Moore, bunun sonucunda hem internete açık hem de kurumsal ağların içinde yaygın olan, gözden kaçan geniş bir saldırı yüzeyi oluştuğunu söyledi.

Tehdidi ölçmek için Moore iki büyük ölçekli tarama gerçekleştirdi. Dış tarama, 86.000'den fazla BMC'nin halka açık bir yönetim hizmeti sunduğunu ve bunların %54'ünden fazlasının bir veya daha fazla kritik açık içerdiğini ortaya koydu. 75.000 kadar BMC, IPMI 2.0 kimlik doğrulama protokolündeki çevrimdışı parola kırmayı mümkün kılan CVE-2013-4786 açığına karşı hâlâ savunmasızdı. 126.761 BMC üzerinde yapılan iç taramada ise neredeyse %29'unun kritik açıklara sahip olduğu görüldü.

Yeni keşfedilen açık sınıfları arasında kimlik doğrulamayı atlayan IPMI kimlik doğrulama el sıkışmasındaki hatalar, oturum içi bütünlük ve şifrelemenin sağlanamaması, tahmin edilebilir oturum tanımlayıcıları, SSH hizmetinde kimlik doğrulama öncesi bellek bozulmaları, imzasız veya saldırganın kontrol edebildiği donanım yazılımı ve canlı kimlik bilgileri olarak kullanılan donanım yazılımından çıkarılabilen sırlar yer alıyor. Etkilenen satıcılar arasında HPE, Supermicro, Intel, OpenBMC, Nvidia, H3C, Dell ve Huawei bulunuyor.

Moore, yöneticilerin açıkları tespit etmesine yardımcı olmak için OOBscan adlı açık kaynaklı bir araç yayınladı. BMC'lerin hâlâ hafife alınan bir risk olduğunu ve ekosistemin kod kalitesi ve mimari açısından geride kaldığını vurguladı. 2021'deki ILObleed implantı ve geçen yıl AMI BMC açığıyla ilgili CISA uyarısı gibi geçmiş olaylar, bu saldırıların gerçek dünyadaki tehlikesini gözler önüne seriyor.