{"id":6307,"date":"2026-10-23T13:29:49","date_gmt":"2026-10-23T13:29:49","guid":{"rendered":"https:\/\/www.torck.io\/?p=6307"},"modified":"2026-10-23T13:29:49","modified_gmt":"2026-10-23T13:29:49","slug":"failles-hpe-ilo","status":"publish","type":"post","link":"https:\/\/www.torck.io\/fr\/hpe-ilo-luecken\/","title":{"rendered":"Vuln\u00e9rabilit\u00e9s HPE iLO : quels serveurs faut-il corriger, isoler ou remplacer d\u00e8s maintenant ?"},"content":{"rendered":"

<\/p>\n

Le 13 octobre 2026, la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 runZero a r\u00e9v\u00e9l\u00e9 six vuln\u00e9rabilit\u00e9s dans HPE Integrated Lights-Out (iLO), le contr\u00f4leur de gestion des serveurs HPE ProLiant. La plus grave permet, sur les anciennes g\u00e9n\u00e9rations, d\u2019acc\u00e9der \u00e0 une session administrateur sans mot de passe. HPE fournit des versions corrig\u00e9es du micrologiciel pour les versions iLO 5, 6 et 7 ; pour les versions iLO 2, 3 et 4, le bulletin ne mentionne aucune mise \u00e0 jour. Cela concerne les responsables informatiques de toutes les entreprises qui exploitent des serveurs HPE dans leurs usines, entrep\u00f4ts ou succursales, ainsi que les responsables op\u00e9rationnels des fournisseurs de services g\u00e9r\u00e9s qui g\u00e8rent de tels parcs pour le compte de leurs clients.<\/p>\n

En bref<\/b><\/p>\n

Les serveurs \u00e9quip\u00e9s d'iLO 5, 6 ou 7<\/a> re\u00e7oivent d\u00e9sormais la mise \u00e0 jour du micrologiciel de HPE : iLO 5 \u00e0 partir de la version 3.22, iLO 6 \u00e0 partir de la version 1.79, iLO 7 \u00e0 partir de la version 1.25.01. Selon le bulletin, les serveurs \u00e9quip\u00e9s d\u2019iLO 4 ou d\u2019une version ant\u00e9rieure, c\u2019est-\u00e0-dire les ProLiant Gen9, Gen8 et versions ant\u00e9rieures, ne b\u00e9n\u00e9ficieront d\u2019aucun correctif. Dans ce cas, vous devez d\u00e9sactiver IPMI via le LAN et SSH, rendre le contr\u00f4leur accessible uniquement depuis un r\u00e9seau de gestion s\u00e9par\u00e9 et planifier son remplacement. Pour ces deux op\u00e9rations, il est indispensable de disposer d'une liste compl\u00e8te de tous les contr\u00f4leurs, indiquant leur g\u00e9n\u00e9ration, leur version de micrologiciel et leur accessibilit\u00e9.<\/p>\n<\/div>\n

\n\n\n\n\n\n\n\n\n\n
Vuln\u00e9rabilit\u00e9s par g\u00e9n\u00e9ration iLO, situation au 16 octobre 2026. Sources : avis de s\u00e9curit\u00e9 runZero (13 octobre 2026), bulletin HPE HPESBHF05170 selon INCIBE-CERT (14 octobre 2026) et le Centre canadien de cybers\u00e9curit\u00e9 (15 octobre 2026)<\/caption>\n
G\u00e9n\u00e9ration iLO<\/th>\nServeurs types<\/th>\nD\u00e9couvertes de runZero<\/th>\nFirmware corrig\u00e9 selon HPE<\/th>\n<\/tr>\n<\/thead>\n
iLO 2 et iLO 3<\/td>\nProLiant G7 et versions ant\u00e9rieures<\/td>\nConnexion sans mot de passe (CVE-2026-65206), intrusion dans des sessions (CVE-2026-65205)<\/td>\naucune mentionn\u00e9e<\/td>\n<\/tr>\n
iLO 4<\/td>\nProLiant Gen8 et Gen9<\/td>\ncomme ci-dessus, ainsi qu'un d\u00e9bordement dans le service SSH (CVE-2026-65204) et une panne de l'interface Web (CVE-2026-65207, CVE-2026-65209)<\/td>\naucune mentionn\u00e9e<\/td>\n<\/tr>\n
iLO 5<\/td>\nProLiant Gen10 et Gen10 Plus<\/td>\nD\u00e9bordement dans le service SSH, trois failles entra\u00eenant une indisponibilit\u00e9 de l'interface Web et de l'interface Redfish<\/td>\n\u00e0 partir de 3.22<\/td>\n<\/tr>\n
iLO 6<\/td>\nProLiant Gen11<\/td>\nD\u00e9bordement dans le service SSH<\/td>\n\u00e0 partir de 1.79<\/td>\n<\/tr>\n
iLO 7<\/td>\nProLiant Gen12<\/td>\nmentionn\u00e9 dans le bulletin HPE<\/td>\n\u00e0 partir de 1.25.01<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n

Ce que runZero a d\u00e9couvert et ce que HPE a corrig\u00e9<\/h2>\n

Ces d\u00e9couvertes sont le fruit des travaux de HD Moore et s'inscrivent dans une s\u00e9rie consacr\u00e9e aux contr\u00f4leurs hors bande que runZero publie depuis septembre (runZero<\/a>, 10\/2026). Deux d'entre elles concernent le service IPMI sur le port UDP 623 des g\u00e9n\u00e9rations iLO 2 \u00e0 4. La faille CVE-2026-65206 permet d'obtenir une session administrateur pour laquelle seul le nom d'un compte actif est n\u00e9cessaire. Par d\u00e9faut, ce compte s'appelle \u00ab Administrator \u00bb sur les trois g\u00e9n\u00e9rations (runZero, Avis CVE-2026-65206<\/a>). La vuln\u00e9rabilit\u00e9 CVE-2026-65205 permet \u00e0 un attaquant qui intercepte le trafic r\u00e9seau d'injecter des commandes dans une session en cours. Avec des droits d'administrateur sur le contr\u00f4leur, il est possible d'allumer et d'\u00e9teindre le serveur, de cr\u00e9er des comptes et de modifier les param\u00e8tres r\u00e9seau.<\/p>\n

Un d\u00e9bordement de m\u00e9moire dans le service SSH (CVE-2026-65204) affecte les versions iLO 4, 5 et 6. Sur iLO 4, runZero a ainsi pu d\u00e9tourner le d\u00e9roulement du programme ; cela n'a pas \u00e9t\u00e9 \u00e9tudi\u00e9 pour les versions iLO 5 et 6. Trois autres failles permettent, \u00e0 l'aide de requ\u00eates manipul\u00e9es, de paralyser l'interface Web et l'interface Redfish, entra\u00eenant parfois le red\u00e9marrage du contr\u00f4leur. Les scores CVSS allant jusqu\u2019\u00e0 9,8 sont des estimations de runZero. HPE a publi\u00e9 le bulletin HPESBHF05170 contenant des versions corrig\u00e9es pour iLO 5, 6 et 7 et recommande de d\u00e9sactiver l\u2019IPMI via le LAN lorsqu\u2019il n\u2019est pas n\u00e9cessaire (INCIBE-CERT<\/a>, 14.10.2026; Centre canadien de cybers\u00e9curit\u00e9<\/a>, 15.10.2026).<\/p>\n

Ce qui reste \u00e0 r\u00e9gler<\/b>Aucune exploitation de cette faille en milieu r\u00e9el n'a \u00e9t\u00e9 signal\u00e9e \u00e0 ce jour (au 16 octobre 2026). runZero a toutefois publi\u00e9 un outil de test open source permettant de reproduire ces failles et annonce d'autres publications concernant d'autres fabricants d'ici fin octobre. Un parc de serveurs Dell, Lenovo ou Supermicro n\u2019est donc pas automatiquement \u00e9pargn\u00e9.<\/div>\n

Ce que cela signifie pour votre entreprise<\/h2>\n

Un contr\u00f4leur de gestion fonctionne ind\u00e9pendamment du syst\u00e8me d'exploitation ; les logiciels antivirus et les outils de surveillance du serveur ne le voient pas. Toute personne disposant de droits d'administrateur sur ce contr\u00f4leur peut \u00e9teindre le serveur, monter un fichier ISO externe ou prendre le contr\u00f4le de la console. L'ampleur du risque d\u00e9pend donc avant tout d'une question : depuis quels r\u00e9seaux le contr\u00f4leur est-il accessible ?<\/p>\n

La r\u00e9ponse honn\u00eate est souvent la suivante : sur plus de r\u00e9seaux que pr\u00e9vu. Sur les sites ne disposant pas de leur propre service informatique, le port iLO est souvent connect\u00e9 au m\u00eame r\u00e9seau que les PC de bureau ou les ordinateurs de production, car cela a permis une mise en service plus rapide. \u00c0 cela s\u2019ajoutent des contr\u00f4leurs dont le micrologiciel n\u2019a pas \u00e9t\u00e9 mis \u00e0 jour depuis des ann\u00e9es.<\/p>\n

36.872<\/strong><\/p>\n

En mai 2026, les services IPMI des serveurs \u00e9taient accessibles directement depuis Internet. Les deux tiers des appareils test\u00e9s divulguaient les hachages des mots de passe avant m\u00eame la connexion.<\/p>\n

LAVA Security, BMC Exposure Research, juillet 2026<\/cite><\/div>\n

Un exemple tir\u00e9 du secteur de la sous-traitance : Une entreprise disposant de huit sites exploite 120 serveurs HPE, dont 70 \u00e9quip\u00e9s d\u2019iLO 5, 30 d\u2019iLO 6 et 20 anciens syst\u00e8mes Gen9 \u00e9quip\u00e9s d\u2019iLO 4, qui servent d\u2019h\u00f4tes de virtualisation pour le poste de contr\u00f4le et le MES dans les ateliers. Si l'on met \u00e0 jour individuellement les 100 contr\u00f4leurs actuels via l'interface Web, il faut, selon nos estimations, environ 20 minutes par appareil pour le t\u00e9l\u00e9chargement, l'installation et la v\u00e9rification, soit au total environ 33 heures de travail. En cas de d\u00e9ploiement centralis\u00e9 via l\u2019interface Redfish, il faut compter une journ\u00e9e de travail pour la pr\u00e9paration et les tests, plus le temps n\u00e9cessaire \u00e0 l\u2019ex\u00e9cution \u00e9chelonn\u00e9e. Le v\u00e9ritable probl\u00e8me r\u00e9side dans les 20 syst\u00e8mes Gen9 : comme il n\u2019existe pas de mise \u00e0 jour pour ceux-ci, le r\u00e9seau doit prendre le relais pour assurer la protection.<\/p>\n

Vos options : efforts, co\u00fbts et risques<\/h2>\n
\n\n\n\n\n\n\n\n\n\n
Options d'action selon la g\u00e9n\u00e9ration iLO, \u00e9valuation propre de torck, situation au 16 octobre 2026<\/caption>\n
Option<\/th>\nEffort<\/th>\nCo\u00fbts<\/th>\nRisque<\/th>\n<\/tr>\n<\/thead>\n
Mise \u00e0 jour du micrologiciel pour iLO 5, 6 et 7<\/td>\nDe quelques heures \u00e0 quelques jours, selon l'outil<\/td>\nsurtout le temps interne<\/td>\nminime, seul le contr\u00f4leur red\u00e9marre<\/td>\n<\/tr>\n
D\u00e9sactiver l'IPMI via le r\u00e9seau local et SSH<\/td>\nMinutes par appareil, de mani\u00e8re centralis\u00e9e via un script<\/td>\nfaible<\/td>\nLes anciens scripts de surveillance qui interrogent l'IPMI ne fonctionnent plus et doivent \u00eatre migr\u00e9s vers Redfish<\/td>\n<\/tr>\n
Un r\u00e9seau de gestion distinct pour chaque site<\/td>\nquelques semaines pour le VLAN, les r\u00e8gles de pare-feu et le serveur de rebond<\/td>\nmoyen<\/td>\nEn l'absence d'un deuxi\u00e8me moyen d'acc\u00e8s, les administrateurs se retrouvent eux-m\u00eames bloqu\u00e9s en cas d'erreur<\/td>\n<\/tr>\n
Remplacer les syst\u00e8mes iLO-4<\/td>\nmois, y compris la migration des charges de travail<\/td>\n\u00e9lev\u00e9, investissement<\/td>\nCharges li\u00e9es \u00e0 la migration et fen\u00eatres de maintenance en production<\/td>\n<\/tr>\n
Ne rien faire<\/td>\naucun<\/td>\naucune pour l'instant<\/td>\nLes serveurs restent contr\u00f4lables via le contr\u00f4leur sans que les outils de s\u00e9curit\u00e9 ne s'en aper\u00e7oivent ; une vuln\u00e9rabilit\u00e9 connue est difficile \u00e0 justifier dans le cadre d'un audit NIS2<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n

Pour la plupart des parcs, l'ordre des op\u00e9rations est le suivant : inventaire, mise \u00e0 jour, d\u00e9sactivation de l'IPMI et du SSH, r\u00e9seau de gestion, remplacement des anciens \u00e9quipements dans le budget 2027. La planification des mises \u00e0 jour sur des centaines de serveurs est d\u00e9crite dans l'article Mises \u00e0 jour du micrologiciel sur des centaines de serveurs<\/a>.<\/p>\n

Quelle m\u00e9thode pour quel cas ?<\/h2>\n

Lorsqu'il n'y a qu'une poign\u00e9e de serveurs sur un m\u00eame site, une mise \u00e0 jour manuelle suffit, compl\u00e9t\u00e9e par la d\u00e9sactivation de l'IPMI via le r\u00e9seau local. Dans le cas de nombreux sites, par exemple un r\u00e9seau de succursales avec des serveurs dans chaque \u00e9tablissement ou un fournisseur disposant de plusieurs usines, il est pr\u00e9f\u00e9rable de recourir \u00e0 un inventaire centralis\u00e9 et \u00e0 une mise \u00e0 jour pilot\u00e9e par script via Redfish. Les fournisseurs de services g\u00e9r\u00e9s ont en outre besoin, pour chaque client, d\u2019un relev\u00e9 indiquant quels appareils ont \u00e9t\u00e9 concern\u00e9s et \u00e0 quelle date ils ont \u00e9t\u00e9 mis \u00e0 jour.<\/p>\n

Les syst\u00e8mes Gen9 qui ne peuvent pas \u00eatre remplac\u00e9s \u00e0 court terme peuvent continuer \u00e0 fonctionner si le contr\u00f4leur n'est accessible que depuis le r\u00e9seau de gestion, si IPMI et SSH sont d\u00e9sactiv\u00e9s et si l'interface Web n'est accessible que depuis le serveur de rebond. Si vous limitez ainsi l'acc\u00e8s \u00e0 l'iLO, vous aurez besoin, en cas d'urgence, d'un deuxi\u00e8me moyen d'acc\u00e9der \u00e0 la console, par exemple un KVM mat\u00e9riel avec multiprise commutable. La mise en place d'un tel r\u00e9seau est d\u00e9crite dans l'article S\u00e9parer le r\u00e9seau de gestion<\/a>.<\/p>\n

\n

Un \u00e9tat des lieux BMC de votre parc de serveurs en dix jours ouvrables<\/b>Vous recevez un inventaire de tous les contr\u00f4leurs de gestion avec fabricant, g\u00e9n\u00e9ration, micrologiciel et services ouverts, une v\u00e9rification des r\u00e9seaux depuis lesquels l'IPMI, le SSH et l'interface Web sont accessibles, un plan de mise \u00e0 jour pour iLO 5, 6 et 7 avec des fen\u00eatres de maintenance par site et, pour chaque syst\u00e8me iLO 4, une aide \u00e0 la d\u00e9cision : isoler, acc\u00e8s d'urgence via KVM mat\u00e9riel ou remplacer.<\/p>\n

Demander un \u00e9tat des lieux<\/a><\/div>\n

Foire aux questions<\/h2>\n

Le serveur doit-il red\u00e9marrer pour la mise \u00e0 jour iLO ?<\/h3>\n

Non. La mise \u00e0 jour ne fait que red\u00e9marrer le contr\u00f4leur de gestion ; le syst\u00e8me d'exploitation et les applications continuent de fonctionner. Pendant le red\u00e9marrage, la console \u00e0 distance est bri\u00e8vement indisponible ; c'est pourquoi la mise \u00e0 jour doit tout de m\u00eame \u00eatre effectu\u00e9e pendant une fen\u00eatre de maintenance.<\/p>\n

Les serveurs Dell, Lenovo ou Supermicro sont-ils concern\u00e9s ?<\/h3>\n

Pas dans cette publication. runZero a toutefois r\u00e9v\u00e9l\u00e9 en septembre des failles dans OpenBMC, qui \u00e9quipe les appareils de plusieurs fabricants, et annonce d'autres failles d'ici fin octobre. Veillez donc \u00e0 recenser tous les contr\u00f4leurs, et pas seulement ceux de HPE.<\/p>\n

Suffit-il de d\u00e9sactiver l'IPMI via le r\u00e9seau local ?<\/h3>\n

C'est le cas pour les deux failles IPMI dans les versions iLO 2 \u00e0 4. Le d\u00e9bordement dans le service SSH et les failles dans l'interface Web et l'interface Redfish persistent toutefois. Pour les versions iLO 5, 6 et 7, la mise \u00e0 jour est donc n\u00e9cessaire ; pour iLO 4, il faut limiter l'accessibilit\u00e9 \u00e0 un r\u00e9seau de gestion s\u00e9par\u00e9.<\/p>\n

La prochaine \u00e9tape<\/h2>\n

torck d\u00e9veloppe KVM Fleet<\/a> en tant que plateforme d'acc\u00e8s \u00e0 distance aux parcs de serveurs r\u00e9partis sur de nombreux sites, avec KVM mat\u00e9riel, pilotage de l'alimentation et droits multi-locataires, d\u00e9j\u00e0 utilis\u00e9e dans notre propre suivi des syst\u00e8mes clients. Les fournisseurs de services g\u00e9r\u00e9s peuvent tester la plateforme en acc\u00e8s anticip\u00e9 avec jusqu'\u00e0 25 appareils. Pour l'inventaire, le plan de mise \u00e0 jour et la s\u00e9paration des r\u00e9seaux, vous pouvez compter sur nos Services professionnels<\/a>. Pour en savoir plus sur le contexte de cette situation, consultez S\u00e9curit\u00e9 BMC : une faille sous-estim\u00e9e<\/a> et Remplacement de l'IPMI : le parcours de migration vers Redfish<\/a>. Prendre rendez-vous pour un premier entretien<\/a>.<\/p>","protected":false},"excerpt":{"rendered":"

Le 13 octobre 2026, runZero a rendu publiques six vuln\u00e9rabilit\u00e9s dans HPE iLO, dont une permettant de se connecter sans mot de passe \u00e0 iLO 2 \u00e0 4. HPE fournit des versions corrig\u00e9es du micrologiciel pour iLO 5, 6 et 7 ; le bulletin ne mentionne aucune mise \u00e0 jour pour les g\u00e9n\u00e9rations ant\u00e9rieures.<\/p>","protected":false},"author":10,"featured_media":6312,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_mbp_gutenberg_autopost":false,"footnotes":""},"categories":[26],"tags":[],"art":[],"class_list":["post-6307","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-remote-infrastrukturmanagement"],"_links":{"self":[{"href":"https:\/\/www.torck.io\/fr\/wp-json\/wp\/v2\/posts\/6307","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.torck.io\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.torck.io\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.torck.io\/fr\/wp-json\/wp\/v2\/users\/10"}],"replies":[{"embeddable":true,"href":"https:\/\/www.torck.io\/fr\/wp-json\/wp\/v2\/comments?post=6307"}],"version-history":[{"count":1,"href":"https:\/\/www.torck.io\/fr\/wp-json\/wp\/v2\/posts\/6307\/revisions"}],"predecessor-version":[{"id":6314,"href":"https:\/\/www.torck.io\/fr\/wp-json\/wp\/v2\/posts\/6307\/revisions\/6314"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.torck.io\/fr\/wp-json\/wp\/v2\/media\/6312"}],"wp:attachment":[{"href":"https:\/\/www.torck.io\/fr\/wp-json\/wp\/v2\/media?parent=6307"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.torck.io\/fr\/wp-json\/wp\/v2\/categories?post=6307"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.torck.io\/fr\/wp-json\/wp\/v2\/tags?post=6307"},{"taxonomy":"art","embeddable":true,"href":"https:\/\/www.torck.io\/fr\/wp-json\/wp\/v2\/art?post=6307"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}