3 noviembre 2026
Seguridad
6 minutos de lectura

Supermicro corrige ocho fallos en el BMC de 392 placas, uno con CVSS 9,8

Antonio

Supermicro ha publicado firmware para corregir ocho vulnerabilidades en el controlador de gestión de placa base (BMC) de sus servidores, entre ellas una crítica, CVE-2026-18450, con una puntuación CVSS de 9,8. El aviso, fechado el 26/10/2026, afecta a 392 modelos de placas base y módulos de gestión de chasis y atribuye el hallazgo a investigadores de runZero. El fallo más grave permite, según el fabricante, enviar paquetes manipulados que ejecutan comandos IPMI en una sesión activa sin necesidad de credenciales.

Las claves de las vulnerabilidades del BMC de Supermicro en 30 segundos

Son ocho CVE en las funciones IPMI y KVM del BMC: una crítica, cuatro altas, dos medias y una baja.
Tres pueden aprovecharse sin credenciales, incluida CVE-2026-18450, con CVSS 9,8.
El aviso enumera 392 placas y módulos de las familias X11 a X14 y H11 a H14, además de diez conmutadores.
Dos placas todavía no tienen firmware corregido y Supermicro dice no conocer ataques reales.

El BMC es un pequeño ordenador integrado en la placa base que permite encender, apagar, reinstalar o abrir la consola de un servidor de forma remota, incluso con el sistema operativo caído. Por eso un fallo en este componente tiene más alcance que uno en una aplicación: quien controla el BMC puede actuar sobre la máquina por debajo del sistema operativo y de muchas de sus defensas. En los servidores de Supermicro, ese acceso se ofrece a través del protocolo IPMI, de una interfaz web y de una consola KVM en HTML5.

Tres fallos explotables sin credenciales

La vulnerabilidad más grave, CVE-2026-18450, se debe a que el BMC no aplica correctamente los requisitos de integridad y cifrado de los comandos IPMI. Según Supermicro, un atacante podría fabricar paquetes que ejecuten comandos arbitrarios dentro de una sesión RMCP+ ya abierta por un usuario legítimo. El vector CVSS 3.1 publicado por el fabricante indica acceso por red, baja complejidad, sin privilegios ni interacción del usuario, y alto impacto en confidencialidad, integridad y disponibilidad.

Otros dos fallos tampoco requieren autenticación. CVE-2026-18449 (CVSS 7,5) se debe a una clave fija dentro de la implementación SMCRAKP del BMC, que podría ayudar a descifrar un hash de contraseña. CVE-2026-65219 (CVSS 7,4) permite, con un mensaje RAKP enviado fuera de orden, establecer una sesión RMCP+ desde la que ejecutar comandos, aunque su complejidad de ataque es alta. RAKP es el intercambio de claves que usa IPMI 2.0 para autenticar las sesiones, y ya fue objeto de investigaciones públicas en 2013 por la forma en que exponía los hashes de las contraseñas.

El resto de vulnerabilidades parte de un acceso previo. CVE-2026-65220 (CVSS 8,8) permite a un usuario con pocos privilegios elevar su cuenta a administrador mediante mensajes RAKP+ manipulados. Con permisos de administrador IPMI, CVE-2026-65211 (7,2) da acceso de lectura y escritura a la memoria física del BMC y, con ello, ejecución de código en su sistema operativo; CVE-2026-65213 (6,6) permite ejecutar comandos como root, y CVE-2026-65210 (4,9) leer archivos arbitrarios del sistema de ficheros. La más leve, CVE-2026-18451 (3,1), afecta al token con el que se abre la consola KVM, que se genera a partir de la hora y podría adivinarse para secuestrar la sesión.

Encadenados, estos fallos describen un camino completo: entrar sin credenciales o con una cuenta menor, convertirse en administrador y terminar ejecutando código como root en el BMC. Supermicro afirma que no tiene constancia de un uso malicioso de estas vulnerabilidades y, por ahora, no figuran en el catálogo de vulnerabilidades explotadas de la agencia estadounidense CISA.

392 placas afectadas y dos todavía sin parche

La tabla de productos del aviso incluye 402 referencias. 392 son placas base y módulos, la cifra que se ha difundido, y las otras diez son conmutadores de la serie SSE-T. Por familias, la más numerosa es X11, con 102 referencias, seguida de X12 (69), X14 (57) y X13 (49) en la parte Intel, y de H12 (24), H13 (21), H14 (12) y H11 (9) en la parte AMD. También aparecen placas para servidores blade, varias referencias A3, M12 y R12 y dos módulos de gestión de chasis.

Cada referencia lleva asociada la versión de firmware del BMC que incluye la corrección, distinta según la familia; en varias placas X13, por ejemplo, es la 01.08.16. Dos modelos, MBD-X12DGU y MBD-X13SEW-TF-OS1, figuran todavía con la versión corregida «TBD», es decir, pendiente. El propio aviso mezcla dos mensajes: dice que el firmware actualizado ya existe y, a la vez, que Supermicro sigue probando y validando los productos afectados, así que remite a las notas de versión de cada placa.

El mismo día, Supermicro publicó un segundo aviso sobre el BMC con una vulnerabilidad distinta, CVE-2026-16521 (CVSS 7,2). Es una inyección de comandos en la función de syslog que puede ejecutarse cuando se reinicia el servicio correspondiente, la descubrió Jihye Lee, investigadora independiente de la Universidad de Corea, y afecta a 378 referencias. Su resumen repite por error que hay ocho problemas, cuando solo describe uno. Algunas fuentes, como la wiki del integrador alemán Thomas-Krenn, juntan ambos avisos y hablan de nueve CVE, y esa misma página asigna a CVE-2026-18450 una puntuación de 9,2, distinta del 9,8 que figuran en el aviso de Supermicro y en el registro público del CVE.

Lights Out, la investigación de runZero sobre los BMC

Las ocho vulnerabilidades forman parte de Lights Out, la investigación que runZero anunció el 05/08/2026 sobre fallos en varias implementaciones de BMC. La empresa incluyó entonces en su lista OpenBMC, Supermicro IPMI, HPE iLO, Dell iDRAC, AMI MegaRAC, Raritan, H3C HDM y Fujitsu, y avanzó que los detalles técnicos llegarían a medida que terminara la divulgación coordinada con cada fabricante. Presentó los resultados generales en Black Hat y DEF CON.

El aviso de Supermicro es, por tanto, uno de los primeros cierres de ese proceso, y es probable que otros fabricantes de la lista publiquen sus propios boletines. La seguridad de esta capa de los servidores ha ganado peso con los despliegues de IA, en los que fabricantes como Nuvoton y AMI ya llevan OpenBMC con raíz de confianza en hardware a las nuevas plataformas.

Qué deben hacer los administradores

Supermicro indica que todas las placas afectadas necesitan una actualización del firmware del BMC. El primer paso es localizar el modelo exacto de cada servidor en la tabla del aviso y comparar la versión instalada con la corregida; quienes compren a través de un integrador pueden encontrar versiones validadas en su área de descargas, como recomienda Thomas-Krenn a sus clientes. En las dos placas pendientes, y mientras no se actualice el resto, la medida más eficaz es la que se repite desde hace años: que la interfaz de gestión no sea accesible desde internet.

runZero recomienda limitar el acceso de gestión a direcciones IP de confianza o a subredes internas, aislar los BMC en una red de gestión dedicada o detrás de una VPN y reforzar la monitorización de los accesos que queden abiertos. También aconseja establecer un proceso formal para aplicar los parches de los BMC de todos los fabricantes, algo que muchas organizaciones no tienen porque el firmware de gestión suele quedar fuera de los ciclos habituales de actualización. Como una de las vulnerabilidades puede exponer hashes de contraseñas, conviene además cambiar las credenciales de los BMC después de actualizar.

Preguntas frecuentes

¿Qué es CVE-2026-18450?

Es una vulnerabilidad crítica, con CVSS 9,8, en el BMC de Supermicro. Permite fabricar paquetes que ejecutan comandos IPMI en una sesión RMCP+ activa sin autenticación, porque el BMC no aplica bien los requisitos de integridad y cifrado.

¿Qué placas de Supermicro están afectadas?

El aviso enumera 392 placas y módulos, sobre todo de las familias X11, X12, X13 y X14 (Intel) y H11 a H14 (AMD), además de diez conmutadores SSE-T. Cada referencia indica la versión de firmware del BMC que corrige los fallos.

¿Se están explotando estas vulnerabilidades?

Supermicro afirma que no tiene constancia de un uso malicioso, y no figuran en el catálogo de vulnerabilidades explotadas de CISA.

¿Cómo protegerse si la placa aún no tiene parche?

Manteniendo la interfaz del BMC fuera de internet, en una red de gestión aislada o detrás de una VPN, limitando el acceso a direcciones de confianza y cambiando las contraseñas del BMC tras actualizar.

Fuentes: