Server esposti: rischio IPMI sui BMC accessibili online

Più di 36.000 interfacce di gestione server esposte su Internet usano IPMI, e 24.650 di queste rilasciano materiale utile a ricavare le password prima ancora del login. Per un’azienda questo significa una cosa semplice: un componente spesso dimenticato dell’infrastruttura può diventare la porta d’ingresso più pericolosa verso server, dati e continuità operativa.

Il punto critico è che non si parla di un bug “classico” facilmente risolvibile con una patch. Il problema riguarda il funzionamento di IPMI 2.0 e, se l’interfaccia di gestione è raggiungibile dall’esterno, un attaccante può tentare di ricostruire offline password deboli, predefinite o prevedibili senza generare i classici tentativi di accesso ripetuti che molti sistemi di difesa sanno rilevare.

Che cosa è emerso

Il 28 luglio 2026 The Hacker News ha riportato una ricerca condivisa da Lava su un’esposizione molto ampia delle interfacce BMC, i processori dedicati alla gestione remota dei server. Al 6 maggio 2026 risultavano 36.872 host unici raggiungibili pubblicamente con servizi IPMI sulla porta UDP 623.

Di questi, 24.650 esponevano hash di autenticazione derivati dalla password prima del login. La debolezza è associata a CVE-2013-4786, classificata con severità alta e punteggio CVSS 7.5. In pratica, un soggetto non autenticato che riesce a raggiungere il BMC può ottenere da una risposta del protocollo materiale sufficiente per provare password candidate offline.

Questo dettaglio cambia molto il livello di rischio. Negli attacchi online tradizionali, ogni tentativo di password deve essere inviato al sistema bersaglio e può essere limitato, registrato o bloccato. In questo caso, invece, il controllo avviene fuori dal server: una volta ottenuto l’hash, l’attaccante può provare molte combinazioni in locale, rapidamente e senza fare rumore sulla macchina presa di mira.

Secondo i dati citati, oltre il 30% degli hash raccolti era associato a password recuperabili tramite dizionari comuni o schemi prevedibili, compresi formati legati alle password di fabbrica. La ricerca ha inoltre rilevato 6.240 BMC che restituivano materiale di autenticazione per uno username vuoto riconducibile a una password debole e altri 2.340 BMC che lo facevano per account con nomi come ADMIN o root, con password presenti in wordlist pubbliche.

Perché i BMC sono così delicati

Il BMC, Baseboard Management Controller, è un componente separato dal sistema operativo del server. Gestisce accensione e spegnimento, console remota, installazione del sistema operativo, recupero in caso di guasto, telemetria hardware e spesso anche aggiornamenti firmware o configurazioni BIOS.

In altre parole, non è una semplice interfaccia di amministrazione: è il livello più vicino all’hardware. Proprio per questo è anche estremamente sensibile. Se compromesso, un BMC può consentire un controllo profondo del server indipendentemente dalle difese installate sul sistema operativo.

Questo approccio si chiama gestione out-of-band: utile per amministrare sistemi remoti e ridurre i tempi di fermo, ma anche pericoloso se esposto senza adeguate protezioni. Un aggressore che prende il controllo del BMC può aggirare molti controlli di sicurezza tradizionali, mantenere persistenza anche dopo una reinstallazione del sistema operativo e muoversi lateralmente verso altri asset.

Negli ambienti moderni il problema è ancora più serio. La ricerca evidenzia impatti potenzialmente rilevanti nei data center AI e negli ambienti bare-metal multi-tenant, dove la stessa infrastruttura può ospitare carichi di lavoro di più organizzazioni. In quel contesto, una sola interfaccia di gestione esposta può trasformarsi in un rischio condiviso per più clienti o reparti.

Perché questa notizia conta oggi più di ieri

CVE-2013-4786 non è nuova. Il punto è che il contesto tecnologico è cambiato. La disponibilità di hardware GPU rende il recupero offline delle password molto più rapido, mentre il valore economico dei server esposti è cresciuto, soprattutto dove si gestiscono carichi critici, virtualizzazione, servizi cloud o applicazioni AI.

La ricerca riporta anche alcuni dati molto concreti: nei test di Lava, le password di fabbrica HPE iLO risultavano recuperabili in meno di un minuto con hardware GPU moderno, mentre quelle di fabbrica Supermicro in circa un’ora, pur essendo assegnate in modo univoco a ciascun server.

Un ulteriore elemento da non sottovalutare è che non si tratta di un rischio solo teorico. Nella notizia si cita l’esistenza di attività ostili già osservate su interfacce BMC esposte a Internet, compresi operatori ransomware che avrebbero lasciato una nota estorsiva sulla pagina di login di un HPE iLO 4.

In più, secondo quanto ricordato nella fonte, Dell ha indicato che il problema è intrinseco alla specifica IPMI 2.0 e che non esiste una patch risolutiva. Questo rende ancora più importante l’approccio architetturale: non basta aggiornare, bisogna ripensare l’esposizione e i controlli di accesso.

Dove le aziende sbagliano più spesso

Nelle PMI il rischio nasce raramente da una scelta deliberata. Più spesso deriva da stratificazioni nel tempo:

• un server installato anni fa con impostazioni iniziali mai riviste;
• una password di fabbrica cambiata solo “più avanti” e poi dimenticata;
• una porta aperta temporaneamente per assistenza remota e mai richiusa;
• una rete di management non separata dalla rete ordinaria;
• inventari incompleti, per cui il BMC esiste ma nessuno lo considera nel perimetro di sicurezza.

Questi scenari sono comuni soprattutto dove l’infrastruttura cresce per esigenze operative e non viene periodicamente verificata. È anche il motivo per cui la sicurezza delle interfacce di gestione non dovrebbe dipendere solo dalla buona volontà del singolo amministratore, ma da procedure e controlli stabili nel tempo.

Cosa significa per la tua azienda

Se la tua azienda ha server fisici in sede, in colocation o presso fornitori che concedono accesso bare-metal, questa notizia ti riguarda direttamente. Anche se non usi il termine BMC nella gestione quotidiana, potresti avere in funzione iLO, IPMI o tecnologie equivalenti senza esserne pienamente consapevole.

Le priorità pratiche sono queste:

1. Verifica se esistono interfacce BMC esposte su Internet. Controlla in particolare la raggiungibilità della porta UDP 623 dall’esterno. Se è accessibile pubblicamente, va trattata come una criticità immediata.

2. Sposta la gestione su una rete privata dedicata. L’accesso alle interfacce di management dovrebbe avvenire solo da sistemi amministrativi autorizzati, idealmente tramite VPN o rete separata, mai direttamente da Internet.

3. Cambia subito tutte le password di fabbrica o deboli. Vale soprattutto per account come ADMIN, admin o root. Se i server sono stati installati da tempo, non dare per scontato che le credenziali iniziali siano state ruotate davvero.

4. Disabilita le opzioni legacy non necessarie. La fonte richiama in particolare IPMI 1.5 e impostazioni deboli o obsolete. Se non servono, vanno rimosse dall’ambiente.

5. Applica controllo d’accesso di rete. Non basta “non pubblicare” l’interfaccia: serve limitare chi può raggiungerla, da dove e in quali orari o contesti operativi.

6. Inserisci il BMC nelle verifiche di sicurezza periodiche. Backup, antivirus e firewall restano importanti, ma se la gestione hardware rimane fuori controllo hai comunque un punto cieco molto rischioso. Un piano di sicurezza informatica efficace deve includere anche questi componenti infrastrutturali.

7. Documenta e monitora l’infrastruttura. Sapere quali server esistono, chi li amministra e come vi si accede è parte della continuità operativa. In molte aziende il problema nasce proprio dalla mancanza di presidio continuativo, che può essere affrontata con servizi di desktop e infrastruttura IT management.

8. Prepara il recupero operativo. Se un attacco colpisce un server critico, la disponibilità dei dati resta centrale. Un sistema di remote backup non elimina il rischio BMC, ma riduce l’impatto di un incidente più ampio su operatività e tempi di ripristino.

Per una PMI italiana il messaggio è chiaro: le interfacce di amministrazione remota dei server non possono essere lasciate “come sono sempre state”. Vanno trattate come asset ad alto rischio, con la stessa attenzione che si riserva a firewall, account amministrativi e accessi remoti.

Un tema di governance, non solo di tecnica

Questo caso è interessante perché dimostra come molte esposizioni gravi non derivino da malware sofisticati, ma da funzioni legittime progettate per semplificare l’operatività. La comodità della gestione remota è reale, ma se non è governata con criteri rigorosi diventa una scorciatoia anche per gli attaccanti.

Per chi decide budget e priorità IT, la lezione è importante: la sicurezza non coincide con l’aggiornamento del PC o con l’acquisto di un firewall. Include la revisione dei servizi nascosti ma critici, l’eliminazione delle esposizioni inutili e il controllo delle impostazioni predefinite che restano attive troppo a lungo.

Nel 2026, con potenza di calcolo disponibile a basso costo e attacchi sempre più automatizzati, anche vecchie debolezze possono diventare improvvisamente urgenti. Questo è esattamente il caso dell’IPMI esposto su Internet.

Domande frequenti

Se il server è protetto da firewall, posso stare tranquillo?

Non necessariamente. Se la porta UDP 623 o altre interfacce di management risultano comunque raggiungibili dall’esterno, il rischio resta. Va verificata l’esposizione reale, non solo la presenza del firewall.

Basta cambiare la password per risolvere?

Cambiare password forti e uniche è essenziale, ma da solo non basta. Se il BMC rimane esposto pubblicamente, continui a offrire una superficie d’attacco sensibile. La misura decisiva è limitarne l’accesso a reti e sistemi autorizzati.

Questo problema riguarda solo grandi data center e provider GPU?

No. La ricerca cita anche ambienti moderni ad alta densità, ma il rischio vale per qualsiasi organizzazione con server fisici gestiti da remoto, comprese PMI, studi professionali e sedi con infrastruttura locale.