Vulnérabilités HPE iLO : quels serveurs faut-il corriger, isoler ou remplacer dès maintenant ?

Le 13 octobre 2026, la société de sécurité runZero a révélé six vulnérabilités dans HPE Integrated Lights-Out (iLO), le contrôleur de gestion des serveurs HPE ProLiant. La plus grave permet, sur les anciennes générations, d’accéder à une session administrateur sans mot de passe. HPE fournit des versions corrigées du micrologiciel pour les versions iLO 5, 6 et 7 ; pour les versions iLO 2, 3 et 4, le bulletin ne mentionne aucune mise à jour. Cela concerne les responsables informatiques de toutes les entreprises qui exploitent des serveurs HPE dans leurs usines, entrepôts ou succursales, ainsi que les responsables opérationnels des fournisseurs de services gérés qui gèrent de tels parcs pour le compte de leurs clients.

Ce que runZero a découvert et ce que HPE a corrigé

Ces découvertes sont le fruit des travaux de HD Moore et s'inscrivent dans une série consacrée aux contrôleurs hors bande que runZero publie depuis septembre (runZero, 10/2026). Deux d'entre elles concernent le service IPMI sur le port UDP 623 des générations iLO 2 à 4. La faille CVE-2026-65206 permet d'obtenir une session administrateur pour laquelle seul le nom d'un compte actif est nécessaire. Par défaut, ce compte s'appelle « Administrator » sur les trois générations (runZero, Avis CVE-2026-65206). La vulnérabilité CVE-2026-65205 permet à un attaquant qui intercepte le trafic réseau d'injecter des commandes dans une session en cours. Avec des droits d'administrateur sur le contrôleur, il est possible d'allumer et d'éteindre le serveur, de créer des comptes et de modifier les paramètres réseau.

Un débordement de mémoire dans le service SSH (CVE-2026-65204) affecte les versions iLO 4, 5 et 6. Sur iLO 4, runZero a ainsi pu détourner le déroulement du programme ; cela n'a pas été étudié pour les versions iLO 5 et 6. Trois autres failles permettent, à l'aide de requêtes manipulées, de paralyser l'interface Web et l'interface Redfish, entraînant parfois le redémarrage du contrôleur. Les scores CVSS allant jusqu’à 9,8 sont des estimations de runZero. HPE a publié le bulletin HPESBHF05170 contenant des versions corrigées pour iLO 5, 6 et 7 et recommande de désactiver l’IPMI via le LAN lorsqu’il n’est pas nécessaire (INCIBE-CERT, 14.10.2026; Centre canadien de cybersécurité, 15.10.2026).

Ce que cela signifie pour votre entreprise

Un contrôleur de gestion fonctionne indépendamment du système d'exploitation ; les logiciels antivirus et les outils de surveillance du serveur ne le voient pas. Toute personne disposant de droits d'administrateur sur ce contrôleur peut éteindre le serveur, monter un fichier ISO externe ou prendre le contrôle de la console. L'ampleur du risque dépend donc avant tout d'une question : depuis quels réseaux le contrôleur est-il accessible ?

La réponse honnête est souvent la suivante : sur plus de réseaux que prévu. Sur les sites ne disposant pas de leur propre service informatique, le port iLO est souvent connecté au même réseau que les PC de bureau ou les ordinateurs de production, car cela a permis une mise en service plus rapide. À cela s’ajoutent des contrôleurs dont le micrologiciel n’a pas été mis à jour depuis des années.

Un exemple tiré du secteur de la sous-traitance : Une entreprise disposant de huit sites exploite 120 serveurs HPE, dont 70 équipés d’iLO 5, 30 d’iLO 6 et 20 anciens systèmes Gen9 équipés d’iLO 4, qui servent d’hôtes de virtualisation pour le poste de contrôle et le MES dans les ateliers. Si l'on met à jour individuellement les 100 contrôleurs actuels via l'interface Web, il faut, selon nos estimations, environ 20 minutes par appareil pour le téléchargement, l'installation et la vérification, soit au total environ 33 heures de travail. En cas de déploiement centralisé via l’interface Redfish, il faut compter une journée de travail pour la préparation et les tests, plus le temps nécessaire à l’exécution échelonnée. Le véritable problème réside dans les 20 systèmes Gen9 : comme il n’existe pas de mise à jour pour ceux-ci, le réseau doit prendre le relais pour assurer la protection.

Vos options : efforts, coûts et risques

Pour la plupart des parcs, l'ordre des opérations est le suivant : inventaire, mise à jour, désactivation de l'IPMI et du SSH, réseau de gestion, remplacement des anciens équipements dans le budget 2027. La planification des mises à jour sur des centaines de serveurs est décrite dans l'article Mises à jour du micrologiciel sur des centaines de serveurs.

Quelle méthode pour quel cas ?

Lorsqu'il n'y a qu'une poignée de serveurs sur un même site, une mise à jour manuelle suffit, complétée par la désactivation de l'IPMI via le réseau local. Dans le cas de nombreux sites, par exemple un réseau de succursales avec des serveurs dans chaque établissement ou un fournisseur disposant de plusieurs usines, il est préférable de recourir à un inventaire centralisé et à une mise à jour pilotée par script via Redfish. Les fournisseurs de services gérés ont en outre besoin, pour chaque client, d’un relevé indiquant quels appareils ont été concernés et à quelle date ils ont été mis à jour.

Les systèmes Gen9 qui ne peuvent pas être remplacés à court terme peuvent continuer à fonctionner si le contrôleur n'est accessible que depuis le réseau de gestion, si IPMI et SSH sont désactivés et si l'interface Web n'est accessible que depuis le serveur de rebond. Si vous limitez ainsi l'accès à l'iLO, vous aurez besoin, en cas d'urgence, d'un deuxième moyen d'accéder à la console, par exemple un KVM matériel avec multiprise commutable. La mise en place d'un tel réseau est décrite dans l'article Séparer le réseau de gestion.

Foire aux questions

Le serveur doit-il redémarrer pour la mise à jour iLO ?

Non. La mise à jour ne fait que redémarrer le contrôleur de gestion ; le système d'exploitation et les applications continuent de fonctionner. Pendant le redémarrage, la console à distance est brièvement indisponible ; c'est pourquoi la mise à jour doit tout de même être effectuée pendant une fenêtre de maintenance.

Les serveurs Dell, Lenovo ou Supermicro sont-ils concernés ?

Pas dans cette publication. runZero a toutefois révélé en septembre des failles dans OpenBMC, qui équipe les appareils de plusieurs fabricants, et annonce d'autres failles d'ici fin octobre. Veillez donc à recenser tous les contrôleurs, et pas seulement ceux de HPE.

Suffit-il de désactiver l'IPMI via le réseau local ?

C'est le cas pour les deux failles IPMI dans les versions iLO 2 à 4. Le débordement dans le service SSH et les failles dans l'interface Web et l'interface Redfish persistent toutefois. Pour les versions iLO 5, 6 et 7, la mise à jour est donc nécessaire ; pour iLO 4, il faut limiter l'accessibilité à un réseau de gestion séparé.

La prochaine étape

torck développe KVM Fleet en tant que plateforme d'accès à distance aux parcs de serveurs répartis sur de nombreux sites, avec KVM matériel, pilotage de l'alimentation et droits multi-locataires, déjà utilisée dans notre propre suivi des systèmes clients. Les fournisseurs de services gérés peuvent tester la plateforme en accès anticipé avec jusqu'à 25 appareils. Pour l'inventaire, le plan de mise à jour et la séparation des réseaux, vous pouvez compter sur nos Services professionnels. Pour en savoir plus sur le contexte de cette situation, consultez Sécurité BMC : une faille sous-estimée et Remplacement de l'IPMI : le parcours de migration vers Redfish. Prendre rendez-vous pour un premier entretien.