Lenovo ha revelado un fallo de seguridad de gravedad alta en el firmware de gestión de servidores ThinkSystem V4 que restaura una contraseña de root predeterminada de OpenBMC después de un restablecimiento de fábrica.

Rastreado como CVE-2026-81936, el problema podría permitir que atacantes accedan a interfaces administrativas habilitadas y lleguen al sistema operativo subyacente del controlador, que normalmente está restringido.

El registro CVE, publicado el 11 de noviembre de 2026, establece que Lenovo encontró el problema durante una revisión de seguridad interna. El fallo afecta a un rango limitado de versiones del firmware XClarity Controller 3, en lugar de a todos los servidores ThinkSystem o a todos los productos que utilizan OpenBMC.

Las versiones afectadas van desde la versión 2.51 de XCC3, compilación IHX432Y, hasta la versión 2.56, compilación IHX436K. Lenovo describe la causa como una regresión de desarrollo, lo que significa que un cambio de software reintrodujo un comportamiento inseguro. Realizar una operación de “Restablecimiento de XCC a valores predeterminados” en estas versiones reintroduce la credencial de root predeterminada de OpenBMC.

El activador es específicamente un restablecimiento del controlador a los valores predeterminados. La divulgación proporcionada no describe un reinicio ordinario del servidor, una reinstalación del sistema operativo o un ciclo de encendido como causas del problema. Esto hace que las comprobaciones de la versión del firmware y el historial de restablecimientos sean importantes cuando evalúes tu exposición.

La guía del producto XClarity Controller 3 de Lenovo explica que XCC3 es un procesador de gestión basado en OpenBMC integrado en los servidores ThinkSystem V4. Soporta monitorización de hardware, actualizaciones de firmware, control remoto de encendido y varias interfaces de gestión. El acceso a esta capa conlleva un riesgo significativo porque controla funciones que van más allá de las aplicaciones normales del servidor.

Lenovo advierte sobre una vulnerabilidad de servidor

Después de que el restablecimiento restaure la credencial, un atacante podría utilizarla contra las interfaces administrativas de XCC habilitadas. Lenovo también advierte que esto proporciona acceso al sistema operativo subyacente de XCC. Se trata del sistema operativo del controlador, no automáticamente del sistema operativo host que ejecuta las cargas de trabajo empresariales.

El problema está clasificado como CWE-1392, Uso de Credenciales Predeterminadas. MITRE describe esta debilidad como el uso de contraseñas o claves predeterminadas para funciones potencialmente críticas, lo que facilita el acceso no autorizado si esos valores permanecen en uso.

El registro asigna una puntuación CVSS 4.0 de 7.1, calificada como alta, y una puntuación CVSS 3.1 de 6.8, calificada como media. Ambos vectores requieren privilegios elevados e interacción del usuario. Por lo tanto, no debes leer esta divulgación como evidencia de una toma de control de internet no restringida y no autenticada.

Informes previos sobre vulnerabilidades de servidores OpenBMC y fallos de seguridad en el firmware de BMC muestran por qué la seguridad del controlador necesita atención independiente. Esos informes se refieren a vulnerabilidades diferentes y no establecen la explotación de este problema de Lenovo.

Lenovo afirma que las versiones afectadas ya no están disponibles para su descarga y que ha mejorado los procesos de desarrollo para prevenir y detectar regresiones similares. El registro proporcionado no menciona una compilación de reemplazo específica ni informa de ataques activos.

Como administrador, debes identificar las compilaciones de XCC3 instaladas, revisar si los controladores afectados fueron restablecidos y confirmar con Lenovo el firmware compatible adecuado. Mantén el acceso de gestión restringido a redes de confianza.

El panel de seguridad de Lenovo puede ayudarte a revisar los servicios habilitados y la configuración de las cuentas. Sin embargo, no debe sustituir la comprobación del rango de firmware afectado y la obtención de orientación del proveedor antes de realizar más operaciones de restablecimiento.