Vulnerabilidad · media · CVSS 6.8
Lenovo corrige fallo grave en firmware de servidores ThinkSystem V4
Nivel B · Parchea esta semana – Al sprint
Quién está expuesto: Servidores ThinkSystem V4 tras restablecimiento de fábrica
Nivel B porque: Compromiso total O secretos expuestos O cadena de suministro
Alcance
Ataque
Daño
Corrección
Compromiso total
Qué hacer
- Consultar el aviso de seguridad de Lenovo para CVE-2026-81936 y aplicar la actualización de firmware correspondiente en los servidores ThinkSystem V4.
- Cambiar la contraseña root de OpenBMC en los equipos restablecidos de fábrica antes de ponerlos en producción.
Lo esencial
- Lenovo ha revelado una vulnerabilidad de alta gravedad (CVE-2026-81936) en el firmware de gestión de los servidores ThinkSystem V4.
- Tras un restablecimiento de fábrica, el fallo restaura la contraseña root predeterminada de OpenBMC.
- El titular indica que Lenovo ya corrige el fallo.
Por qué importa
Si un servidor ThinkSystem V4 vuelve a su configuración de fábrica, su contraseña root de OpenBMC predeterminada podría quedar restaurada, lo que expone la gestión del equipo a accesos no autorizados. Conviene aplicar la corrección de Lenovo cuanto antes.
La checklist detrás del nivel
Checklist · 2 de 10 con sí
| Sí | Afecta a equipos técnicos | Los servidores ThinkSystem V4 son infraestructura que operan equipos de TI y operaciones. |
| No | Infraestructura básica | Es firmware de gestión de un fabricante concreto, no software básico que casi todos los equipos operan. |
| No | Herramienta popular | Producto de un único fabricante y línea de servidores, no una herramienta de uso generalizado. |
| No | Se está explotando | Blog elhacker.NET: el texto describe la vulnerabilidad sin mencionar ataques reales observados. |
| No | Exploit público | Blog elhacker.NET: solo se describe el aviso de Lenovo; no menciona código de explotación publicado. |
| No | En remoto, sin credenciales | CVSSCVSS: CVE-2026-81936 AV:N/PR:H/UI:R |
| Sí | Compromiso total | CVSSCVE-2026-81936: CVSS califica como alto el impacto en confidencialidad e integridad |
| No | Secretos expuestos | Blog elhacker.NET: no se informa de robo ni exposición de credenciales ni datos. |
| No | Cadena de suministro | Blog elhacker.NET: se trata de un fallo de firmware, no de un canal de distribución comprometido. |
| No | Aún sin corrección | Blog elhacker.NET: el titular indica que Lenovo corrige el fallo, por lo que hay corrección disponible. |
El registro oficial
De CVE.org, el catálogo de vulnerabilidades explotadas conocidas (KEV) de CISA, FIRST EPSS y la GitHub Advisory Database. Cuando responden un hecho de la checklist, pesan más que las notas.
CVE-2026-81936 ↗CVSS 6.8 medium AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:H/A:H
Default OpenBMC Root Credential Reintroduced After Reset to Defaults in ThinkSystem v4 XCC3
- Explotado
- No está en el catálogo de explotadas de CISA
- EPSS
- <1% de probabilidad de explotación en los próximos 30 días · más alta que el 29% de todos los CVE
- Debilidad
- CWE-1392
Fuente
Lenovo advierte fallo grave en servidores que restaura credenciales root tras reinicio ↗ Blog elhacker.NET · hace 1 h
Visto por primera vez · 1 fuente · La noticia completa · Cómo se deciden los niveles