13年前のBMC脆弱性（CVE-2013-4786）が2万4千台超のサーバ管理インターフェースを今なお脅かす——認証前にパスワードハッシュが漏洩、GPU解析で32秒突破も

2026年8月6日

登場人物紹介

チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。

ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo

「データセンターのサーバ管理インターフェースがインターネットに公開されてるなんてあるんでしゅか？」
「13年前の脆弱性って……もうずっと放置されてたってこと？」

チップス

管理用のインターフェースがネットに出てるって危ない気がするでしゅ……しかも13年前の欠陥ってパッチも出てないんでしゅか？

ボス

これは仕様自体の欠陥だ。BMCのIPMI 2.0認証プロトコルに組み込まれているため、ファームウェア更新だけでは根本解決にならない。ネットワーク分離が唯一の防御だな

2026年7月、セキュリティ企業Lavaが公開したスキャンレポートは衝撃的な実態を明らかにした。
世界中で36,872台のIPMIサービス（データセンター管理用インターフェース）がインターネットに公開されており、そのうち24,650台（66.9%）が認証完了前にパスワードハッシュを外部へ漏洩していた。
原因はIPMI 2.0の仕様に2004年から組み込まれた欠陥CVE-2013-4786で、仕様レベルの問題のためパッチによる修正が原理的にできない。

CVE-2013-4786はIPMI 2.0の仕様自体の欠陥で、認証なしにパスワードのHMAC-SHA1ハッシュを入手でき、オフラインで解析可能
Supermicro製BMCは8GPUサーバで約1時間、HPE iLOは最新GPU（RTX PRO 6000）でわずか32秒でパスワード突破
BMCはOSより下位の管理層を持つため、侵害されるとOS側のセキュリティツールでは検出できない

自社のデータセンターやクラウドインフラでBMC管理インターフェースが誤って公開されていないか、今すぐ確認してほしい。

オススメ案件

新着案件をもっと見る

何が起きたのか——2万4千台超が認証前にハッシュを漏洩

Lavaは2026年5月6日、Shodanを使ってIPMI管理ポート（UDP 623番）に応答するホストを世界規模でスキャンした。
本来インターネットに公開すべきでないこのポートに、36,872台ものホストが応答を返した。
詳細な検証の結果、24,650台（66.9%）がCVE-2013-4786の影響を受け、ログイン完了前にパスワード由来のHMAC-SHA1ハッシュを開示していることが判明した。

空ユーザー名・デフォルトパスワードも大量に確認

脆弱なBMCの実態はハッシュ漏洩だけにとどまらなかった。ポイントは以下のとおりだ。

問題	件数
認証前にパスワードハッシュを漏洩（CVE-2013-4786）	24,650台
空ユーザー名で弱いパスワードが通る	6,240台
デフォルトパスワードのまま（Admin/rootなど）	2,340台

2026年5月〜7月の期間、毎日約60台の新規ホストが公開状態で追加されていたことも確認されており、問題は現在進行形だ。

脆弱性の仕組みと影響——なぜ「パッチで直らない」のか

BMC（Baseboard Management Controller）はOSとは独立して動作するアウトオブバンド管理インターフェースで、電源制御・ファームウェア更新・KVMコンソールなどの機能を提供する。

IPMI 2.0 RAKP認証の根本的欠陥とパスワード突破時間

CVE-2013-4786はIPMI 2.0のRAKP（Remote Authenticated Key-Exchange Protocol）における設計上の欠陥だ。
認証フローでBMCが返すRAKPメッセージ2に「パスワード由来のHMAC-SHA1ハッシュ」が含まれており、認証完了前に取得できてしまう。
攻撃者はこのハッシュをオフラインで解析でき、BMC側には試行の記録が残らないため検出が極めて困難だ。

ハッシュ入手後の突破時間は以下のとおりだ。