Sono otto le vulnerabilità BMC Supermicro descritte nel bollettino che l’azienda ha pubblicato per il firmware delle sue schede server. Il BMC (Baseboard Management Controller) è il chip che permette di gestire il server da remoto, anche a sistema spento, tramite il protocollo IPMI. La falla più grave, CVE-2026-18450, ha un punteggio CVSS di 9.8 secondo l’azienda. I problemi sono stati segnalati dai ricercatori di runZero, che il 26 ottobre hanno reso pubbliche anche falle nei controller di Dell e Avocent. Supermicro dichiara di non essere a conoscenza di attacchi che sfruttano queste vulnerabilità.
Le otto vulnerabilità BMC Supermicro
Il bollettino, pubblicato il 26 ottobre 2026, elenca otto identificativi con gravità diverse:
- CVE-2026-18450 (critica, 9.8): il BMC non impone integrità e cifratura dei comandi IPMI nelle sessioni RMCP+ attive, e un attaccante potrebbe eseguire comandi arbitrari su una sessione già aperta.
- CVE-2026-65220 (alta, 8.8): escalation dei privilegi fino al livello di amministratore.
- CVE-2026-18449 (alta, 7.5): una chiave fissa nel codice che potrebbe permettere di decifrare l’hash di una password.
- CVE-2026-65219 (alta, 7.4): un messaggio RAKP inviato fuori sequenza può far ottenere una sessione IPMI.
- CVE-2026-65211 (alta, 7.2): lettura e scrittura della memoria fisica del BMC, con possibile esecuzione di codice sul suo sistema operativo.
- CVE-2026-65213 (media, 6.6) e CVE-2026-65210 (media, 4.9): esecuzione di comandi come root e lettura di file arbitrari, entrambe da parte di un amministratore IPMI già autenticato.
- CVE-2026-18451 (bassa, 3.1): un token di avvio della console KVM prevedibile, perché generato a partire dall’ora, che permette di dirottare la sessione.
Le schede coinvolte appartengono a molte famiglie, tra cui X11, X12, X13, X14, H11, H12, H13, H14 e M11, oltre ad alcuni switch. Secondo Supermicro tutti i modelli interessati richiedono un aggiornamento del BMC: il firmware corretto è stato realizzato ed è in fase di test e convalida, mentre per alcuni modelli la versione risulta ancora da definire. L’azienda invita a consultare le note di rilascio.
Perché la falla critica CVE-2026-18450 preoccupa
runZero attribuisce alla falla un punteggio di 8.1, più basso di quello del produttore, perché per sfruttarla serve conoscere l’identificativo di una sessione attiva, che chi si trova sullo stesso percorso di rete potrebbe osservare. I ricercatori sottolineano però che molti strumenti di monitoraggio tengono le sessioni IPMI sempre aperte, il che rende lo scenario realistico nelle reti aziendali. Chi controlla il BMC ha in pratica il controllo dell’hardware: può riavviare il server, accedere alla console e intervenire sul firmware.
Coinvolti anche Dell iDRAC e Avocent
Nella stessa pubblicazione runZero ha descritto 21 problemi in totale: otto di Supermicro, dodici nei controller Dell iDRAC e uno nei dispositivi Avocent. Le falle di Dell sono di gravità bassa o media. Tra queste, CVE-2026-65196 lascia IPMI raggiungibile in rete tramite IPv6 su iDRAC10 anche quando è stato disattivato. La falla Avocent, CVE-2026-65184, è invece critica (9.8): riguarda i server di console ACS8000 e ACS800 con firmware 2.32.4 e consentirebbe di eseguire comandi come root senza autenticazione. I ricercatori precisano di averla individuata analizzando il firmware e un ambiente virtualizzato, senza conferma su un dispositivo reale.
Secondo runZero, il progetto di ricerca sui controller di gestione remota ha prodotto finora 33 CVE ed è partito da un’analisi iniziale assistita dall’intelligenza artificiale.
Cosa fare per proteggere i server
- Isolare le interfacce IPMI: secondo runZero non dovrebbero mai essere raggiungibili da Internet né dalle reti usate dagli utenti, ma solo da una rete di gestione dedicata.
- Fare l’inventario dei BMC presenti in azienda e verificare la segmentazione della rete. runZero mette a disposizione lo strumento open source oobscan per individuarli.
- Controllare il bollettino Supermicro per il proprio modello di scheda e installare l’aggiornamento del BMC appena disponibile.
- Sui sistemi Dell, verificare che IPMI over LAN sia davvero disattivato anche via IPv6 dove non serve.
Come per le altre falle che colpiscono l’infrastruttura, dalla vulnerabilità PHP2Shell già sfruttata ai problemi di Tailscale SSH, il primo passo è ridurre l’esposizione dei servizi di amministrazione e aggiornare appena possibile.
Fonti: Supermicro, runZero, runZero advisory CVE-2026-18450.
