Dins del teu servidor hi ha un altre ordinador, i 36.872 són a internet

Quan apagues un servidor, el servidor no s'apaga. A dins continua despert un ordinador petit amb el seu propi processador, el seu propi firmware, la seva pròpia IP i la seva pròpia contrasenya. Es diu BMC, i és la peça més privilegiada del rack: encén, apaga, munta una ISO i et dona la pantalla com si fossis davant de la màquina. També és, gairebé sempre, l'única peça on ningú no ha entrat des del dia del muntatge. El 29 de juliol es va publicar el recompte: 36.872 d'aquests ordinadors escolten a internet, i 24.650 lliuren material derivat de la contrasenya del compte a qui el demani, abans d'iniciar sessió.

Operem ferro propi en diversos datacenters —clústers Proxmox amb Ceph, xarxa pròpia— i ens paguen per mantenir infraestructura d'altres, així que aquest recompte no el llegim com una curiositat de titular. El llegim com una llista de tasques que feia anys que no tenia amo. Anem amb els números primer i amb la part incòmoda després: això no es tanca amb un pegat.

Què és exactament el que està exposat

El BMC (Baseboard Management Controller) és el processador de gestió que porten els servidors de rack. Segons el fabricant es diu iLO, iDRAC, IPMI o simplement «gestió», i s'hi parla amb un protocol anomenat IPMI al port 623/UDP. La seva gràcia és que funciona fora de banda: no depèn del sistema operatiu, ni que el sistema operatiu arrenqui, ni que el servidor estigui encès. Mentre hi hagi corrent a la font, el BMC és viu.

Amb accés a un BMC no «s'administra un servidor». Es fa tot el que faria algú dret davant del rack amb un teclat, una pantalla i un USB a la mà: apagar, encendre, entrar a la BIOS, muntar una imatge remota i arrencar-hi. Per això no ens agrada dir-ne «interfície de gestió»: és una consola física remota, i qui la controla no necessita ni tocar el teu sistema operatiu. Reinstal·lar el servidor tampoc no el fa fora.

Els números del recompte

L'escaneig és del 6 de maig del 2026 i busca tot el que respon a 623/UDP des d'internet. El van publicar el 28 i el 29 de juliol. Tal qual:

Sumant les dues categories crackejables publicades —compte buit i compte amb nom— surten 8.580 controladors amb la contrasenya a l'abast d'un diccionari. La suma exacta és nostra; la cobertura de la recerca ho publica com «al voltant d'un terç». Convé llegir-ho bé: és un de cada tres dels 24.650 que filtren material. No és el 100%, i dir-ho importa. Però un de cada tres, en una mostra de 36.872 màquines físiques que sostenen alguna cosa, és una barbaritat.

Per geografia, més de 14.000 són als Estats Units, amb concentracions a Alemanya, la Xina, els Països Baixos i el Regne Unit. Que Espanya no surti al titular no significa res: l'escaneig mesura què està exposat, no on és el problema.

Per què això no s'arregla amb un pegat

L'identificador és CVE-2013-4786, amb CVSS 7,5 a l'escala v3. La data de l'identificador és del 2013, però el comportament ve de l'especificació IPMI 2.0, del 2004: a l'intercanvi d'establiment de sessió, el controlador respon amb un HMAC-SHA1 calculat sobre la contrasenya del compte i valors de sessió que el sol·licitant ja té. És a dir: el protocol està dissenyat per lliurar això. No és un bug d'implementació d'un fabricant.

Dell ho va dir amb una claredat que agraïm: no hi ha pegat, i això és «un problema inherent a l'especificació d'IPMI v2.0». Supermicro va reconèixer que l'escenari és viable i va recomanar rotar contrasenyes i aïllar la gestió en VLAN amb llistes d'accés, a més d'anunciar que revisarà la seva política de contrasenyes per defecte en revisions futures de hardware. Cap dels dos no va prometre una actualització de firmware que ho tanqui, perquè no pot existir.

Aquí hi ha la part que ens sembla més interessant de l'assumpte, i la que explica els 36.872: el sector ha après a gestionar vulnerabilitats com coses que s’arreglen amb un pegat. Arriba l'avís, entra a la cua, s'aplica, es tanca el tiquet. Una fallada que no té pegat no encaixa en aquest circuit: no hi ha res a instal·lar, per tant no hi ha res a tancar, per tant es queda oberta vint-i-dos anys. La mitigació no és una versió, és una decisió de topologia —i les decisions de topologia no les pren un butlletí de seguretat.

La contrasenya de fàbrica única tampoc no et salva

Més de la meitat dels controladors que van respondre eren Supermicro, i Supermicro fa una cosa que està bé: des del novembre del 2019 —per complir la llei californiana SB-327— va deixar d'enviar plaques amb l'ADMIN/ADMIN compartit per tot el catàleg i assigna a cada unitat una contrasenya diferent, impresa en una etiqueta del xassís. Si la teva placa és anterior a aquesta data, continues amb la compartida, i allà no cal trencar res. El problema de la resta és el format. Són exactament deu lletres majúscules, i això és un espai de 26¹⁰ ≈ 141 bilions de combinacions. Sona enorme fins que algú ho mesura: amb un servidor de vuit GPU i Hashcat, esgotar aquest espai triga al voltant d'una hora.

A HPE iLO el format de fàbrica és més curt —vuit caràcters entre majúscules i dígits, 36⁸ ≈ 2,8 bilions—, i aquí els temps publicats deixen de ser tranquil·litzadors del tot: al voltant d'un dia en un Apple M3, i uns 32 segons per resposta en un equip amb vuit RTX 6000 PRO. I no parlem de ferro de la dècada passada: entre els sistemes provats hi ha una placa Supermicro X13DEM del 2023.

Res d'això no sortirà a les teves alertes

Aquesta és la part que fa que el problema envelleixi en silenci. La petició que retorna el hash no és un intent d'inici de sessió fallit: és una fase legítima del protocol, per tant no hi ha res a comptar en un panell d'«autenticacions rebutjades». Trencar el hash passa després, offline, a l'equip de l'atacant, sense tornar a tocar-te. I el teu EDR corre dins del sistema operatiu, mentre que el BMC no és el sistema operatiu: és a sota. Quan l'intrús torna, torna ja amb credencials vàlides.

El patró ens sona perquè l'hem escrit dues vegades aquest mes amb altres protagonistes: l'orquestrador de xarxa que es desplega mirant a internet perquè així és més còmode i la consola de gestió que ningú no comptava com a superfície d'atac. Sempre és el pla de gestió, i sempre pel mateix motiu: es munta amb pressa el dia del desplegament i es documenta amb un «ja ho tancarem després».

La dada que més ens preocupa no és 36.872

És 60. Durant els mesos d'observació van aparèixer al voltant de seixanta IP noves cada dia exposant IPMI. Seixanta al dia no és un inventari heretat de servidors oblidats del 2011: és un flux. És ferro que algú va muntar aquesta setmana, amb el cable de gestió endollat a la primera boca lliure del switch, la que tenia la VLAN de dades, perquè era divendres i calia deixar-ho arrencat.

La peça que no és al teu contracte de manteniment

Agafa qualsevol contracte de manteniment i busca el BMC. Trobaràs pegats del sistema operatiu, còpies de seguretat, antivirus, monitoratge, potser firmware de cabina i de switches. El firmware del controlador de gestió i la rotació de les seves credencials solen no ser en cap línia. No per mala fe: perquè el BMC no és de ningú. El de sistemes assumeix que és «cosa del ferro», el de xarxa el veu com una IP més, i qui va muntar el servidor va marxar el mateix dia.

Quatre preguntes per fer al teu proveïdor aquesta setmana. O per fer-te-les tu, si el proveïdor ets tu:

• Quants BMC tenim i en quina VLAN són? Si la resposta triga més de cinc minuts, ja tens la primera troballa.
• Algun continua amb la contrasenya que venia a l'adhesiu? Ara ja saps quant val aquest adhesiu: entre 32 segons i una hora.
• Quina versió de firmware porten? No per aquesta fallada, que no té pegat, sinó per les altres —les de la interfície web del propi controlador, que sí que tenen pegat i surten cada pocs mesos.
• Qui se n'assabentaria si algú hi entrés? I amb quin senyal, atès que no hi haurà un inici de sessió fallit per alertar.

I l'honestedat que toca: si no tens ferro propi, això no va amb tu. Si tot el que és teu són màquines virtuals en un cloud públic, el BMC és del proveïdor i és el seu problema. Però si tens servidors en un rack —propi o llogat— el BMC és teu encara que el rack no ho sigui; en colocation la gàbia és d'un altre i la consola remota continua sent la teva responsabilitat. És exactament el tipus de cost invisible del qual parlàvem a els comptes a cinc anys del ferro propi enfront del cloud: el hardware propi surt bé de preu, però porta tasques que en una factura de cloud no apareixen perquè les fa un altre.

Què es fa avui, en aquest ordre

• 1. Comprova si ets a la llista. Des de fora de la teva xarxa, contra els teus propis rangs públics: nmap -sU -p 623 --script ipmi-version EL.TEU.RANG/24. Si alguna cosa respon, aquesta cosa és un ordinador amb permís per arrencar i apagar ferro teu, i el pot veure qualsevol.
• 2. Tanca 623/UDP a la vora —i amb ell la web del controlador i el seu KVM, que no viuen al mateix port. Matís honest: tancar el port no arregla el protocol, només el treu de l'abast d'internet. Qui ja sigui dins de la teva xarxa continua rebent el mateix regal.
• 3. Substitueix tota contrasenya de fàbrica per una de llarga i aleatòria de gestor de contrasenyes. No perquè sigui secreta —el hash surt igual—, sinó perquè trencar-la no càpiga al pressupost de ningú.
• 4. Desactiva les opcions heretades: IPMI 1.5, la cipher suite 0, els comptes anònims i l'autenticació NONE. Són opcions d'una altra època que continuen allà perquè ningú no les va apagar.
• 5. Xarxa de gestió a part, de debò a part. VLAN dedicada, sense ruta a internet, i accés només per VPN des dels equips d'administració. Nosaltres ho fem amb WireGuard i portem l'inventari a NetBox com a font única de veritat: saber quants BMC hi ha i en quina VLAN és cadascun és la meitat del control.
• 6. Fes servir Redfish sobre TLS al ferro que ho permeti, en lloc d'IPMI. Amb l'advertència dels mateixos investigadors: ni Redfish ni IPMI no haurien de mirar directament a internet.

Cap d'aquests sis punts requereix comprar res. Requereix que algú tingui la tasca assignada, que és precisament el que ha faltat tot aquest temps.

Què diu de debò aquest recompte

Aquí no hi ha un fabricant dolent ni una campanya d'atac nova. Hi ha un protocol del 2004 que fa el que va documentar que faria, un identificador del 2013 que ningú no podia tancar perquè no hi havia res a instal·lar, i 36.872 màquines el propietari de les quals no tenia apuntat que aquell ordinador petit de dins també compta. El titular diu «vulnerabilitat de vint anys». Nosaltres ho llegim diferent: vint-i-dos anys de tasca sense assignar.

Si aquesta setmana només fas una cosa d'aquest post, que sigui l'escaneig del punt 1 contra els teus propis rangs. Triga menys que llegir-lo sencer.

Fonts (verificades): l'escaneig del 6 de maig del 2026, els 36.872 serveis IPMI a 623/UDP, els 24.650 que retornen material derivat de la contrasenya, els 6.240 amb usuari buit, els 2.340 amb comptes de diccionari, les ~60 IP noves al dia, els formats de contrasenya de fàbrica de Supermicro i HPE amb els seus temps de crackeig (una hora amb vuit GPU; ~32 segons amb vuit RTX 6000 PRO; ~un dia en un Apple M3), la placa X13DEM del 2023, el rescat de 0,3 BTC en un iLO 4 i les mitigacions recomanades — recerca de Lava, «How We Hacked Thousands of Data Centers in Minutes Using a 20-Year-Old Vulnerability» (29 de juliol del 2026). Cobertura, repartiment geogràfic (més de 14.000 als EUA), CVSS 7.5 i declaracions de fabricant —Dell: «no hi ha pegat», «problema inherent a l'especificació d'IPMI v2.0»; Supermicro sobre rotació de credencials, VLAN i política de contrasenyes futura— a The Hacker News i Help Net Security (28 de juliol del 2026). Contrasenya única per unitat de Supermicro des del novembre del 2019 —deu lletres majúscules impreses en una etiqueta del xassís, en substitució de l’ADMIN/ADMIN compartit, per complir la SB-327 de Califòrnia—: pàgina oficial de Supermicro sobre la contrasenya única del BMC. Identificador i descripció de la fallada: CVE-2013-4786. La suma de 8.580 controladors crackejables (6.240 + 2.340) és la nostra aritmètica sobre les seves xifres publicades; la lectura de per què una fallada sense pegat envelleix vint-i-dos anys, l'ordre dels sis passos i les quatre preguntes al proveïdor són nostres. Imatge: part del darrere d'un rack del centre de dades del NERSC (Wikimedia Commons, domini públic).