Actualiza HPE iLO 5, 6 y 7 frente a fallos de autenticación remota

Hewlett Packard Enterprise ha publicado una corrección para varios fallos en Integrated Lights-Out (iLO), el controlador que permite administrar servidores fuera del sistema operativo. El aviso afecta a iLO 5, iLO 6 e iLO 7 y describe impactos que incluyen denegación de servicio y elusión de autenticación. La puntuación más alta es 9,8 para CVE-2026-65206, una vulnerabilidad de red que no requiere autenticación previa según la ficha de HPE.

El boletín del fabricante se publicó el 13 de octubre y el Centro Canadiense para la Ciberseguridad lo resumió el día 15. La alerta enumera cinco CVE aplicables a una o más generaciones: CVE-2026-65205, 65206, 65207, 65208 y 65209. CVE-2026-65204 aparece en el aviso, pero HPE indica que iLO 7 no es vulnerable a esa CVE; no se debe contar como un sexto fallo confirmado para esa generación. La referencia operativa es el boletín HPESBHF05170 de HPE, junto con el resumen de AV26-1046 del Centro Canadiense para la Ciberseguridad.

Versiones que requieren intervención

HPE marca como afectadas las versiones anteriores a 3.22 de iLO 5 en servidores Gen10, las anteriores a 1.79 de iLO 6 y las anteriores a 1.25.01 de iLO 7. Esas tres versiones son el umbral mínimo de corrección indicado por el fabricante; verifica la versión instalada en cada controlador, no la versión de BIOS, sistema operativo o paquete de soporte del servidor.

CVE-2026-65206 alcanza CVSS 3.1 9,8 y su vector es de red, con baja complejidad, sin privilegios previos y sin interacción del usuario. HPE también asigna 8,8 a CVE-2026-65205, y 7,5 a CVE-2026-65207 y CVE-2026-65209. El aviso describe como posibles resultados la elusión de autenticación y la interrupción del servicio. No afirma que estos fallos permitan ejecución de código, por lo que conviene comunicar el impacto tal como lo documenta HPE y evitar elevarlo por inferencia.

Plan de actualización del plano de gestión

Empieza exportando el inventario de hardware y añade la generación del servidor, versión de iLO, dirección de gestión, VLAN o segmento, ubicación y equipo responsable. Busca controladores fuera del inventario de producción: equipos de laboratorio, repuestos encendidos, servidores de sucursales y entornos de recuperación. El plano de gestión suele sobrevivir a una caída del host, así que su exposición debe revisarse como una superficie propia.

Descarga la versión corregida desde el canal de soporte de HPE para el modelo exacto y programa una ventana acorde con las instrucciones de firmware. Valida antes los requisitos de compatibilidad, registra la configuración actual y confirma qué cambios de red o autenticación pueden requerir revalidación después del reinicio. Si no puedes parchear de inmediato, limita el acceso al segmento de administración y permite conexiones solo desde estaciones de salto autorizadas.

-InfraCrew dice: que iLO esté aislado de usuarios no significa que sea invisible; comprueba sus rutas y reglas desde redes corporativas, de proveedores y de recuperación.-

Mantén IPMI sobre LAN desactivado si no existe una necesidad operativa activa: HPE lo deja desactivado por defecto y recomienda no habilitarlo para reducir exposición a problemas de RMCP+. Después de actualizar, comprueba la versión en el controlador y valida inicio de sesión, consola remota, telemetría y alertas. Revisa también el registro de eventos de iLO en busca de cuentas nuevas, cambios de configuración o accesos fuera de horario que no correspondan a la ventana.

Cierre y seguimiento

Si el acceso de gestión estaba publicado en Internet o alcanzable desde redes amplias, considera esa exposición al priorizar la revisión y documenta cualquier excepción con propietario y fecha de caducidad. Cambia credenciales si la investigación encuentra sesiones sospechosas o si el procedimiento interno lo exige; un cambio preventivo sin preservar registros puede dificultar el análisis. La actualización no sustituye a comprobar quién puede alcanzar el controlador ni qué cuentas conservan permisos administrativos.

-InfraCrew dice: cierra cada activo con versión anterior, versión corregida y evidencia de una prueba funcional; un porcentaje agregado no demuestra que no quede un iLO olvidado.-

Diccionario de la Crew

• iLO — controlador de gestión integrado de HPE que proporciona administración remota del servidor, incluso cuando el sistema operativo del host no está disponible.
• Plano de gestión — interfaces, redes y servicios usados para administrar infraestructura, separados de las cargas de trabajo que esta ejecuta.
• IPMI sobre LAN — mecanismo para administrar hardware a través de una red usando el protocolo Intelligent Platform Management Interface.