Newshot 
联想发布安全公告，披露ThinkSystem V4服务器管理固件存在一处高危漏洞。设备执行恢复出厂设置操作后，会还原OpenBMC的默认root密码。
特定版本XCC3固件受影响，仅默认重置触发漏洞
该漏洞编号为CVE-2026-81936，攻击者可利用其访问已启用的管理接口，进入控制器通常严格限制访问的底层操作系统。对应的CVE记录发布于2026年11月11日，联想在内部安全审计过程中发现了该问题。漏洞仅影响特定版本范围的XClarity Controller 3（以下简称XCC3）固件，并非所有ThinkSystem服务器、或所有采用OpenBMC的产品都存在该风险。
受影响的固件版本范围为XCC3 2.51版本（构建号IHX432Y）至2.56版本（构建号IHX436K）。联想表示，漏洞成因是开发回归问题，即某次代码变更重新引入了不安全逻辑。在上述版本中执行“XCC Reset to Default”操作，就会重新启用OpenBMC的默认root凭证。
漏洞的触发条件非常明确，只有将控制器恢复至默认设置才会触发。普通服务器重启、操作系统重装、电源循环操作都不会引发该问题。因此评估受影响范围时，核查固件版本、确认设备重置历史非常关键。
根据联想XCC3产品指南，XCC3是ThinkSystem V4服务器内置的管理处理器，基于OpenBMC开发。它支持硬件监控、固件更新、远程电源控制等功能，对外开放多个管理接口。访问该控制层的风险极高，因为它的控制范围超出了服务器上运行的普通业务应用。
漏洞可致控制器被控，利用需满足前置条件
设备重置还原默认凭证后，攻击者可利用该凭证登录已启用的XCC管理接口。联想特别提示，获取凭证后可访问XCC的底层操作系统。该系统是控制器自身的操作系统，并不直接等同于运行业务负载的主机操作系统。
该漏洞属CWE-1392（使用默认凭证）类缺陷。MITRE对这类缺陷的定义是：关键功能使用默认密码或密钥，若管理员未修改默认配置，未授权访问的难度会大幅降低。
该漏洞的CVSS 4.0评分为7.1，属高危级别；CVSS 3.1评分为6.8，属中危级别。两个评分版本的利用路径都要求攻击者拥有高权限，且需要用户交互才能触发。这意味着攻击者无法仅凭该漏洞实现远程未授权访问、直接接管设备，不存在互联网级的通用利用风险。
此前公开的多起OpenBMC服务器漏洞、BMC固件安全事件，已经说明控制器层面的安全需要单独重点防护。需要说明的是，过往事件涉及的是其他漏洞，目前没有证据表明本次联想的漏洞已被在野利用。
联想已下架问题固件，管理员需逐项排查风险
联想表示，目前已下架所有受影响版本的固件，同时优化了开发流程，从预防和检测两个层面避免类似回归问题再次出现。本次公告未明确给出具体的修复版本构建号，也未收到该漏洞遭活跃攻击的报告。
管理员应首先排查当前设备安装的XCC3固件构建版本，核查受影响范围内的控制器是否执行过重置操作，同时联系联想确认适用的官方支持固件版本。此外需要严格配置访问控制策略，将管理接口的访问范围限制在可信网络内。
联想的安全控制面板可帮助管理员核查已启用的服务和账户配置，但该工具不能替代固件版本范围核查。管理员在执行后续重置操作前，必须先获取厂商的官方指引，不能仅依赖面板的检查结果。
Lenovo Warns of High-Severity Server Flaw That Restores Default Root Credentials After Reset