Тысячи серверов можно взломать через баг в контроллерах материнских плат

Тысячи подключённых к интернету серверов от крупнейших производителей можно удалённо превратить в бэкдор, эксплуатируя критические уязвимости — некоторым из них больше десяти лет, — скрытые глубоко внутри контроллеров материнских плат. Об этом рассказало исследование, представленное в среду на конференции Black Hat 2026 (доклад «Lights Out: BMC всё ещё сломаны, и теперь у нас есть доказательства», с сопутствующим докладом на DEF CON 34).

Контроллеры управления материнской платой (BMC, Baseboard Management Controllers) — это миниатюрные компьютеры, встроенные в материнскую плату практически любого корпоративного сервера. У них своя прошивка, сетевой стек и IP-адрес, и они работают даже когда сам сервер выключен или завис — это и называется управлением «out-of-band». Именно эта автономность и делает BMC привлекательной целью: по данным исследования компании Lava, из 36 872 обнаруженных в интернете BMC-интерфейсов на базе протокола IPMI 24 650 раскрывают производный от пароля хэш аутентификации ещё до входа в систему — из-за архитектурного изъяна в самой спецификации IPMI 2.0 (CVE-2013-4786), позволяющего офлайн-подбор пароля без единой попытки входа, которую можно было бы засечь. Свыше половины уязвимых контроллеров — от Supermicro, также затронуты серверы HPE и Dell.

“BMC работает вне этого периметра доверия, давая атакующему контроль на уровне ниже операционной системы — и оставаясь практически невидимым для защитных инструментов.”

— Michael Katchinskiy, руководитель исследований безопасности, Lava

• 36 872 BMC-контроллера обнаружены доступными из интернета, 24 650 (67%) раскрывают хэш пароля
• 6 240 контроллеров принимали пустое имя пользователя со слабым паролем, 2 340 — использовали пароли из открытых словарей
• Заводской пароль Supermicro подбирается GPU-фермой примерно за час, пароль HPE iLO — примерно за 32 секунды

У проблемы уже есть реальные последствия: исследователи обнаружили на одном из взломанных контроллеров HPE iLO 4 записку с требованием выкупа в 0,3 биткоина — то есть злоумышленники не просто демонстрируют возможность атаки, а уже монетизируют доступ к серверной инфраструктуре через устойчивые прошивочные бэкдоры, которые переживают даже полную переустановку операционной системы.

Текст написан в информационных целях и не призывает к конкретным инвестиционным решениям.