联想披露了ThinkSystem V4服务器管理固件中的一个高危安全漏洞：执行恢复出厂设置后，系统会重新启用默认的OpenBMC root密码。 该漏洞编号为 CVE-2026-81936 。攻击者一旦拿到这组默认凭据，就可能进入已启用的管理接口，并触达控制器底层操作系统——这一层平时是受限访问的。 根据2026年11月11日发布的CVE记录，漏洞是联想在内部安全审查中发现的。受影响范围并非全部ThinkSystem服务器，也不是所有使用OpenBMC的产品，而是XClarity Controller 3（XCC3）固件的一个有限区间。 具体版本从 XCC3 2.51版（构建号IHX432Y）到2.56版（构建号IHX436K） 。联想将成因描述为开发回归，即某次软件改动把不安全的行为重新带了回来。在这些版本上执行“XCC Reset to Default”，默认的OpenBMC root凭据就会被重新引入。 触发条件明确指向控制器恢复默认设置。披露内容没有把普通服务器重启、重装操作系统或断电重启列为诱因。因此评估暴露面时，固件版本核查和重置历史记录都很关键。 联想的XClarity Controller 3产品指南说明，XCC3是内建于ThinkSystem V4服务器的、基于OpenBMC的管理处理器，支持硬件监控、固件更新、远程电源控制以及多种管理接口。这一层之所以风险不小，是因为它控制的功能够到了普通服务器应用之外。 凭据被恢复后，攻击者可以拿它去尝试已启用的XCC管理接口。联想同时提示，这会带来对XCC底层操作系统的访问——那是控制器自身的操作系统，并不自动等同于承载业务负载的主机操作系统。 该问题归类为 CWE-1392“使用默认凭据” 。MITRE对这一弱点的描述是：在可能关键的功能上使用默认密码或密钥，只要这些值仍在使用，未授权访问就会更容易。 评分方面，记录给出CVSS 4.0评分 7.1 ，定为高危；CVSS 3.1评分 6.8 ，定为中危。两个向量都要求高权限和用户交互，因此不应把它读成可无限制、未认证地从互联网接管设备的证据。 联想表示，受影响版本已不再提供下载，并已改进开发流程，用于预防和发现类似的回归问题。记录中没有点名具体的替换构建版本，也没有报告存在活跃攻击。 对管理员来说，可操作的步骤是：确认已安装的XCC3构建版本，核查受影响的控制器是否经历过重置，并向联想确认应使用的受支持固件。管理访问应限制在可信网络内。 联想的安全仪表盘可用于查看已启用的服务和账户设置，但它不能替代对受影响固件区间的核查，也不能替代在再次执行重置操作前先取得厂商指引。 特别