El INCIBE-CERT ha alertado de una vulnerabilidad crítica y cuatro de severidad alta en HPE Integrated Lights-Out (iLO), el sistema de gestión remota que incorporan los servidores empresariales del fabricante estadounidense.
EN 30 SEGUNDOS
- ¿Qué ha ocurrido? El INCIBE-CERT ha publicado el aviso INCIBE-2026-740 sobre seis vulnerabilidades en HPE Integrated Lights-Out (iLO), una de ellas crítica.
- ¿A quién afecta? A los servidores HPE Gen10 con iLO 5 anterior a la versión 3.22, a los equipos con iLO 6 anterior a la 1.79 y a los que operan con iLO 7 anterior a la 1.25.01.
- ¿Qué riesgo implica? Un atacante remoto podría eludir la autenticación, lograr una sesión con privilegios de administrador o provocar una denegación de servicio.
El aviso, identificado como INCIBE-2026-740 y publicado este miércoles 14 de octubre de 2026 a las 11:52 horas, recoge seis vulnerabilidades en total: una de severidad crítica, cuatro de severidad alta y una de severidad baja. El sistema iLO es una herramienta de administración fuera de banda que permite gestionar un servidor aunque su sistema operativo esté apagado o bloqueado, lo que convierte cualquier fallo de autenticación en esta capa en un riesgo de primer orden para las infraestructuras corporativas.
Una omisión de autenticación crítica en la interfaz IPMI/RMCP+
La vulnerabilidad de mayor gravedad es CVE-2026-65206, una omisión de autenticación en la interfaz IPMI/RMCP+ de HPE Integrated Lights-Out. Un atacante remoto que consiga acceder al servicio e identificar una cuenta habilitada podría establecer una sesión con privilegios de administrador sin necesidad de conocer su contraseña. La ficha del aviso otorga a este fallo el nivel de severidad crítica.
El resto de los fallos, cuatro de severidad alta y uno de severidad baja, completan el conjunto. El aviso atribuye el hallazgo a HD Moore, investigador de la firma de seguridad runZero, una de las voces de referencia en el análisis de servicios expuestos a internet. Los escenarios descritos apuntan a tres consecuencias posibles: eludir la autenticación, obtener una sesión con privilegios de administrador o provocar una denegación de servicio (DoS) sobre el equipo afectado.
Actualización obligatoria en iLO 5, iLO 6 e iLO 7
El INCIBE-CERT ha establecido una hoja de ruta de actualización clara: los servidores con iLO 5, presentes en las plataformas HPE Gen10, deben migrar a la versión 3.22 o posterior; los equipos con iLO 6, a la versión 1.79 o superior; y los que operan con iLO 7, a la versión 1.25.01 o posterior. HPE recomienda, además, mantener deshabilitada la funcionalidad IPMI sobre LAN cuando no resulte imprescindible para la operación diaria.
El fabricante ha publicado la referencia HPESBHF05170 rev.1 con el detalle técnico de los seis fallos detectados. El aviso no constata explotación activa de ninguno de ellos. Ese dato es relevante: la ventana de exposición existe, pero la corrección llega antes de que se haya documentado un ataque real contra estas versiones.
El identificador del aviso, INCIBE-2026-740, evidencia el ritmo de alertas tempranas que el INCIBE-CERT emite cada año para blindar el tejido empresarial español.
La alerta se enmarca en la actividad ordinaria de la Alerta Temprana del INCIBE-CERT, el equipo de respuesta ante incidentes del Instituto Nacional de Ciberseguridad, el organismo público que vela por la ciberseguridad de empresas y ciudadanos en España. Los avisos de esta naturaleza se dirigen a administradores de sistemas y responsables de infraestructura, y su valor está en el margen de tiempo que conceden: parchear antes de que el fallo entre en los catálogos de explotación.
El panorama de la ciberseguridad
Las vulnerabilidades en capas de gestión fuera de banda como iLO ocupan un lugar destacado en los mapas de exposición empresarial. Son servicios que, por diseño, deben permanecer accesibles desde la red para permitir la administración remota, lo que los convierte en objetivo prioritario para quien busca un punto de entrada con privilegios elevados.
El identificador INCIBE-2026-740 da cuenta de un volumen de avisos que se cuenta por centenares cada ejercicio, una cadencia que refleja tanto la presión de los atacantes como la capacidad de deteccion temprana del organismo. Los incidentes graves contra infraestructura empresarial suelen explotar fallos para los que ya existía una versión corregida, y la actualización sigue siendo la medida más eficaz y la más barata.
La recomendación operativa es directa: inventariar los servidores HPE con iLO 5, 6 y 7, comprobar la versión instalada y aplicar la actualización correspondiente. Mientras no se complete, conviene revisar la exposición de la interfaz de gestión a redes no confiables y mantener deshabilitado IPMI sobre LAN, tal y como aconseja el fabricante. Los avisos de la Alerta Temprana se actualizan cuando aparecen nuevos datos técnicos, por lo que la ficha original del INCIBE-CERT sigue siendo la referencia válida para los responsables de sistemas.
