米ラスベガスで開催中のセキュリティカンファレンス「Black Hat USA 2026」で8月5日、サーバーのマザーボードに組み込まれた管理チップ「BMC（ベースボード・マネジメント・コントローラー）」に潜む深刻な脆弱性群が報告された。Ars TechnicaのDan Goodin記者が伝えたところによると、報告したのはファームウェアセキュリティの専門家でセキュリティ企業runZeroの創業者兼CEOであるHD Moore氏。HPE、Supermicro、Avocent、Huawei、Lenovo、Dellなど大手メーカー製のBMCに、新たに見つかった十数件の脆弱性に加え、2013年当時から警告されていた欠陥が対策済みのはずの現在も生き残っていることが分かったという。

BMCとは何か、なぜ問題なのか

BMCはエンタープライズサーバーのマザーボードのほぼすべてに搭載されている小型コンピュータで、独自のOSファームウェア・ネットワークスタック・IPアドレスを持って単独で動作する。管理者はBMCを使ってサーバー群の物理状態を監視したり、再起動・アップデート適用・OS再インストールをリモートで行ったりする。ホストのサーバーが電源オフや応答不能の状態でも機能する「ライツアウト管理」「アウトオブバンド管理」を実現する仕組みだが、その独立性ゆえに侵害されるとOSより深いレイヤーで持続的な足場を攻撃者に与えてしまう。この危険性は2013年から専門家が繰り返し警告してきたが、今回の調査は10年以上経った現在も状況がほとんど改善していないことを裏付けた。

海外調査のポイント（出典：runZero／Ars Technica）

Moore氏は今回、2種類の大規模スキャンを実施した。

  • インターネット上に公開されたBMC：管理サービスを外部に晒しているBMCが8万6000台超見つかり、うち54%以上が重大な脆弱性を1件以上抱えていた。最大7万5000台は、IPMI 2.0の認証プロトコルの欠陥で管理者パスワードのオフライン解析を許す「CVE-2013-4786」に今も脆弱だった。
  • 企業内ネットワークのBMC：12万6761台を調査したところ、約29%が重大な脆弱性を保有していた。

Moore氏はさらに、この調査に先立って新たな脆弱性を次々と発見しており、ベンダー各社がパッチを用意するまでは詳細を非公開にしているという。同氏はメールで「これは広範囲に及び、監視も行き届かず、パッチ適用も遅れている、並行的な攻撃対象領域だ」（pervasive, under-monitored, under-patched parallel attack surface）と表現している。

日本市場での注目点

対象に挙がったHPE、Dell、Lenovo、Supermicro、Huaweiはいずれも日本国内のデータセンターでも広く採用されているベンダーであり、この問題は対岸の火事ではない。BMCはAmazon.co.jp等で単体購入する消費者向け製品ではなく、サーバーのマザーボードに標準搭載される管理機能であるため、価格比較や購入検討の対象にはならない。むしろ実務上の論点は運用側にある。国内のインフラ・情シス担当者にとっての要点は、①BMCの管理インターフェースをインターネットに直接公開せず、管理用VLANや踏み台経由のアクセスに限定すること、②レガシーなIPMI認証を無効化し、より新しい管理プロトコルへの移行を検討すること、③ファームウェアの棚卸しとパッチ適用サイクルを確立すること、の3点に集約される。Moore氏の指摘どおり「社内に何台のBMCが存在するか自体を把握できていない」組織は珍しくなく、まずは可視化から着手する価値がある。

出典: この記事は Thousands of servers can be backdoored by exploiting buggy motherboard controllers の内容をもとに、筆者の見解を加えて独自に執筆したものです。