L'exposition en six chiffres
- 36 872 serveurs exposaient publiquement leur interface de gestion IPMI (port UDP 623) au 6 mai 2026.
- 24 650 d'entre eux (66,9 %) livrent une empreinte de mot de passe avant toute authentification.
- Plus de 30 % des empreintes récupérées correspondaient à des mots de passe cassables avec des dictionnaires courants ou des formats d'usine prévisibles.
- ~1 heure pour retrouver un mot de passe d'usine Supermicro (10 lettres majuscules) sur un serveur à 8 GPU ; ~32 secondes par empreinte pour un mot de passe d'usine HPE iLO.
- CVE-2013-4786, gravité élevée (score CVSS 7,5) : selon un avis de Dell cité par The Hacker News, « il n'existe pas de correctif », le défaut étant inhérent à la spécification IPMI 2.0.
- 0,3 bitcoin : rançon affichée sur une interface HPE iLO 4 déjà compromise, découverte par les chercheurs — preuve que des attaquants ciblent déjà cette couche.
Une fuite avant même le mot de passe : comment fonctionne la faille
Au cœur du problème se trouve le BMC — Baseboard Management Controller —, un petit processeur soudé à la carte mère de la plupart des serveurs professionnels. Son rôle : permettre à un administrateur de piloter la machine à distance, même quand le système d'exploitation est éteint, planté ou absent. Le BMC peut allumer et éteindre le serveur, monter un disque virtuel, mettre à jour le micrologiciel ou modifier des réglages de très bas niveau. C'est, comme le résume Lava, « l'un des points de contrôle les plus privilégiés d'un data center ». Il dialogue historiquement via le protocole IPMI, dont la version 2.0 remonte à 2004. La faiblesse est simple à comprendre. Lors de la phase d'authentification IPMI (l'échange dit RAKP), un BMC vulnérable renvoie un code calculé à partir du mot de passe du compte, avant même que le client ait prouvé son identité. Ce code ne révèle pas le mot de passe en clair, mais il permet de tester des millions d'hypothèses hors ligne, sur une machine dédiée, sans jamais recontacter le serveur — donc sans déclencher la moindre alerte ni le moindre échec de connexion visible. « Un tiers non authentifié capable d'atteindre le port UDP 623 peut demander cette réponse et tester des mots de passe hors ligne », explique le chercheur Michael Katchinskiy. Les mots de passe faibles, réutilisés, laissés en configuration d'usine ou au format prévisible tombent alors en quelques secondes à quelques heures. C'est là que la puissance des cartes graphiques modernes change la donne. Le format d'usine des serveurs Supermicro — dix lettres majuscules imprimées sur une étiquette du châssis — offre en théorie 141 000 milliards de combinaisons ; sur un serveur équipé de huit GPU, l'espace complet se parcourt en une heure environ. Le format HPE iLO, plus court (huit caractères), se réduit à 2 800 milliards de possibilités : environ 32 secondes par empreinte sur un banc à huit cartes RTX 6000 PRO, contre une journée sur un simple Mac. Autrement dit, « CVE-2013-4786 n'est pas nouvelle, mais le risque autour d'elle a changé », résume Lava : le calcul sur GPU a rendu praticable ce qui restait théorique il y a dix ans. Supermicro, prévenu en juin 2026, a reconnu le scénario et dit vouloir renforcer sa politique de mots de passe par défaut sur les futures générations de matériel ; HPE évalue de son côté des exigences plus strictes.Un angle mort au pire moment pour les data centers IA — et pour les Hauts-de-France
Ce qui rend l'alerte particulièrement sensible, c'est le contexte : la ruée sur l'intelligence artificielle concentre des milliers de serveurs GPU de grande valeur derrière des réseaux de gestion partagés. Or, souligne Lava, un BMC compromis opère « sous » le système d'exploitation, hors de portée de la quasi-totalité des outils de sécurité ; une prise de contrôle peut survivre à une réinstallation du système, voire au remplacement d'un disque, et servir de point d'appui pour se déplacer latéralement vers d'autres machines. Dans un environnement mutualisé mal cloisonné, la compromission d'un seul serveur physique peut exposer les charges de travail de plusieurs clients à la fois. « À mesure que l'infrastructure d'IA se développe rapidement, sécuriser cette couche est devenu bien plus urgent », avertit Yakir Kadkoda, cofondateur de Lava. La résonance régionale est directe. Les Hauts-de-France sont en train de devenir l'un des principaux territoires d'accueil de l'infrastructure numérique française : nous avons documenté l'annonce d'un investissement de 45 milliards d'euros de SoftBank dans des data centers dédiés à l'IA, ainsi que le projet Data4 à Cambrai. Le débat public régional s'est jusqu'ici concentré sur l'emploi, le foncier, l'électricité et l'eau. La sécurité de la couche de gestion — ces contrôleurs BMC qui pilotent physiquement les serveurs — en constitue une dimension moins visible mais tout aussi structurante : un pôle de calcul n'a de valeur que si l'on peut garantir que personne n'en prend le contrôle à l'insu des exploitants. Aux États-Unis, où se trouvent 39 % des serveurs vulnérables selon BleepingComputer, l'alerte est déjà prise au sérieux ; l'Europe — Allemagne, Pays-Bas, Royaume-Uni en tête après les États-Unis — n'est pas épargnée. Le point rassurant, c'est que la parade est connue et ne coûte rien : ces interfaces de gestion n'ont tout simplement rien à faire sur l'Internet public. Le problème n'est pas un défaut de technologie de pointe, mais un défaut d'hygiène de configuration à grande échelle. C'est précisément le type de risque « invisible » que nous évoquions dans notre guide cybersécurité pour les TPE-PME régionales.PME régionale : cinq vérifications à mener cette semaine
L'alerte ne concerne pas que les géants du cloud. Toute organisation qui héberge elle-même un serveur professionnel — un serveur de fichiers, une machine de virtualisation, un NAS d'entreprise haut de gamme — dispose probablement d'un BMC (appelé iLO chez HPE, iDRAC chez Dell, XClarity chez Lenovo). Voici les gestes recommandés par les chercheurs, transposés à l'échelle d'une PME.Check-list : sécuriser la gestion de vos serveurs
- Sortir l'interface de gestion d'Internet. Bloquez le port UDP 623 en bordure de réseau ; aucune interface IPMI ou Redfish ne devrait être accessible publiquement. En cas de doute, demandez à votre prestataire un test d'exposition externe.
- Changer les mots de passe d'usine. Sur chaque BMC (iLO, iDRAC, XClarity, Supermicro), remplacez le mot de passe imprimé sur l'étiquette par un secret long et unique, stocké dans un gestionnaire de mots de passe.
- Isoler le réseau d'administration. Placez les interfaces de gestion sur un VLAN dédié, accessible uniquement via VPN ou machine d'administration dédiée, et non depuis le réseau bureautique.
- Désactiver les options héritées. Coupez IPMI 1.5, la « cipher suite 0 », les comptes anonymes et l'authentification « NONE » ; privilégiez Redfish sur TLS quand il est disponible.
- Surveiller séparément. Journalisez et surveillez le réseau de gestion indépendamment des charges de production, pour repérer tout accès anormal à cette couche invisible.
Questions fréquentes
Qu'est-ce que CVE-2013-4786, et pourquoi n'y a-t-il pas de correctif ?
C'est une faiblesse de divulgation d'information (score CVSS 7,5) inscrite dans la spécification du protocole IPMI 2.0, publiée en 2004. Pendant l'authentification, le serveur renvoie une valeur dérivée du mot de passe avant que le client se soit identifié, ce qui autorise un cassage hors ligne. Comme le défaut est dans la norme elle-même — et non dans un logiciel précis —, selon un avis de Dell cité par The Hacker News, aucun correctif ne le supprime : la seule vraie parade est de ne pas exposer l'interface et de renforcer les mots de passe.Mon entreprise n'a pas de data center. Suis-je concerné ?
Potentiellement, oui, dès lors que vous hébergez un serveur professionnel équipé d'un contrôleur de gestion à distance (iLO, iDRAC, XClarity, Supermicro). Le risque n'existe que si cette interface est accessible depuis Internet et protégée par un mot de passe faible ou d'usine. Les cinq vérifications de notre check-list permettent de lever le doute rapidement.Comment savoir si l'un de mes serveurs est exposé ?
Un serveur exposé répond sur le port UDP 623 depuis Internet. Un test d'exposition externe, réalisé par votre équipe informatique ou votre prestataire, permet de le vérifier. La règle de base : ce port, comme l'ensemble des interfaces de gestion, ne doit jamais être joignable publiquement.Les data centers d'IA installés dans les Hauts-de-France sont-ils vulnérables ?
L'étude ne nomme pas d'installation régionale précise. Elle montre en revanche que la faiblesse touche aussi des serveurs Supermicro et HPE récents opérés par des fournisseurs de GPU, et que le danger est accru dans les environnements mutualisés mal cloisonnés. Pour un territoire qui accueille des dizaines de milliards d'euros d'infrastructure IA, la sécurité de cette couche de gestion est un critère d'exploitation à part entière.Que faire en priorité si je découvre une interface exposée ?
Retirez immédiatement l'interface d'Internet (blocage du port 623 en bordure de réseau), changez le mot de passe d'administration, puis isolez le réseau de gestion. Si vous suspectez une compromission — comportement anormal, message inhabituel sur la page de gestion —, traitez-la comme un incident sérieux : le BMC pouvant survivre à une réinstallation, faites appel à un spécialiste pour valider l'intégrité du micrologiciel.Sources
- Lava — « How We Hacked Thousands of Data Centers in Minutes Using a 20-Year-Old Vulnerability » (29/07/2026, étude primaire).
- The Hacker News — « 24,650 Internet-Exposed BMCs Disclose IPMI Password Hashes Before Login » (28/07/2026).
- BleepingComputer — « Over 24,000 exposed server BMCs leak password hash via decades-old flaw » (28/07/2026).
- DCOD — revue des vulnérabilités critiques de la semaine du 3 août 2026.
