ArubaOS-CX: una falla crítica expone los switches HPE a la ejecución remota de código

Hewlett Packard Enterprise ha corregido una vulnerabilidad crítica en ArubaOS-CX, el sistema operativo de los switches empresariales HPE Aruba Networking. El fallo, identificado como CVE-2026-73749, podría permitir que un atacante remoto sin credenciales ejecute código con privilegios elevados.

La vulnerabilidad se hizo pública el 3 de septiembre de 2026 y tiene una puntuación CVSS de 9,8 sobre 10. HPE no tiene constancia de ataques activos ni de pruebas de concepto públicas, pero sus características técnicas hacen prioritario actualizar los dispositivos accesibles a través de la red.

El boletín también incluye otras 23 vulnerabilidades, algunas de las cuales permiten realizar inyección de comandos, omitir la autenticación, escribir archivos arbitrarios y escalar privilegios.

Un desbordamiento de búfer explotable sin autenticación

CVE-2026-73749 se debe a una gestión insegura de las entradas recibidas por un daemon de ArubaOS-CX. Un atacante puede enviar al proceso vulnerable paquetes especialmente diseñados, provocar un desbordamiento de búfer y lograr potencialmente la ejecución de código en el switch.

No se necesitan credenciales ni la interacción de un administrador. Sin embargo, el atacante debe poder acceder al servicio afectado a través de la red.

El vector CVSS — CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H — describe un ataque remoto, de baja complejidad y sin privilegios iniciales. El impacto previsto es elevado sobre la confidencialidad, la integridad y la disponibilidad.

El boletín no especifica qué paquetes o protocolos activan el fallo, ni identifica públicamente el daemon afectado. Tampoco se han proporcionado indicadores de compromiso específicos, firmas de red o secuencias de entrada que puedan utilizarse para las tareas de detección.

Una intrusión con privilegios elevados podría permitir modificar la configuración del dispositivo, interferir con las funciones de gestión o interrumpir el tráfico. Las consecuencias también dependen del papel que desempeñe el switch en la red y de la segmentación aplicada a las interfaces administrativas.

ArubaOS-CX se utiliza en redes corporativas, centros de datos, universidades, centros sanitarios, administraciones públicas y proveedores de servicios. Por tanto, un ataque exitoso contra un switch central puede tener efectos más amplios que la intrusión en un único dispositivo.

Versiones que deben actualizarse de inmediato

HPE ha indicado las versiones que contienen las correcciones para cada rama compatible:

Versión o rama vulnerable	Versión correctiva mínima
10.18.0001	10.18.1002 o posterior
10.17.1021 y anteriores	10.17.1030 o posterior
10.16.1051 y anteriores	10.16.1060 o posterior
10.13.1180 y anteriores	10.13.1190 o posterior
10.10.1180 y anteriores	10.10.1181 o posterior

La mitigación indicada por el fabricante consiste en instalar, como mínimo, la versión correctiva prevista para la rama utilizada. No se ha descrito ninguna solución alternativa equivalente a la actualización.

Merece especial atención la rama AOS-CX 10.10. La versión 10.10.1181 ya ha alcanzado el estado de End of Maintenance y solo recibe correcciones limitadas a problemas críticos identificados internamente por HPE. CVE-2026-73749 se encuentra dentro de esta excepción, pero utilizar una versión EOM deja menos margen para gestionar futuras vulnerabilidades.

Después de la instalación, los administradores deberían comprobar la versión que está realmente activa en cada switch. En entornos redundantes, la actualización debe planificarse teniendo en cuenta los reinicios, las conmutaciones por error y las posibles interrupciones del plano de control.

No solo CVE-2026-73749: el boletín cubre varias superficies de ataque

Las demás vulnerabilidades corregidas muestran que el riesgo no se limita a un único servicio. Se ven afectadas la interfaz web, las API, la línea de comandos, los módulos de gestión, los mecanismos de autenticación y los procedimientos iniciales de aprovisionamiento.

Entre los fallos con una puntuación CVSS de 8,8 se encuentran:

• CVE-2026-73750, que permite a un usuario remoto con pocos privilegios enviar entradas malformadas o incompletas a un módulo de gestión. Las posibles consecuencias son una denegación de servicio o la ejecución de código privilegiado.
• CVE-2026-73751, una vulnerabilidad de inyección de comandos en la interfaz web que puede explotar una cuenta con privilegios limitados.
• CVE-2026-73752, que permite a un atacante no autenticado desde la red adyacente escribir archivos arbitrarios mediante un endpoint de la API, creando las condiciones para una posterior ejecución de código.
• CVE-2026-73753, mediante la cual un usuario con pocos privilegios puede abusar de operaciones de la CLI y ejecutar comandos como usuario privilegiado.
• CVE-2026-73782, una vulnerabilidad de tipo format string explotable sin autenticación desde una red adyacente para ejecutar código privilegiado.

El requisito de acceso a la red adyacente limita la exposición de CVE-2026-73752 y CVE-2026-73782 frente a una vulnerabilidad completamente remota. Sin embargo, no elimina el peligro en redes locales compartidas, segmentos de gestión accesibles o entornos en los que un atacante ya haya comprometido otro sistema.

Otros problemas afectan directamente a la autenticación y a las sesiones administrativas. CVE-2026-73779 puede permitir omitir los controles de autenticación; CVE-2026-73777 permite eludir los controles de acceso de un endpoint de la API y elevar privilegios.

CVE-2026-73778 aprovecha, por su parte, una contraseña predeterminada predecible. El riesgo afecta a los dispositivos que todavía se encuentran en estado de fábrica o en la fase posterior al aprovisionamiento Zero Touch, antes de configurar nuevas credenciales.

En el ámbito web, CVE-2026-73781, con una puntuación CVSS de 8,4, es una vulnerabilidad de cross-site scripting almacenado que requiere la interacción de un administrador. CVE-2026-73780, con una puntuación CVSS de 8,3, aprovecha la ausencia de protecciones CSRF en determinadas sesiones autenticadas mediante certificado: la víctima debe abrir una URL preparada por el atacante.

No se conocen ataques, pero tampoco hay indicadores listos para usar

En el momento de la publicación, HPE declaró no tener evidencias de explotación activa. Tampoco constan pruebas de concepto públicas dirigidas a las vulnerabilidades enumeradas.

No se ha comunicado la inclusión de CVE-2026-73749 en el catálogo Known Exploited Vulnerabilities de CISA. Por tanto, no hay una fecha de incorporación al KEV ni un plazo federal asociado. La situación actual diferencia este fallo de una vulnerabilidad cuya explotación ya haya sido confirmada, pero no reduce la urgencia de corregirla.

Ante la ausencia de indicadores específicos, la monitorización debe centrarse en comportamientos anómalos: bloqueos o reinicios inesperados de los daemons, entradas malformadas, autenticaciones inusuales, modificaciones no autorizadas, creación de archivos y comandos administrativos que no puedan relacionarse con actividades planificadas.

También deben revisarse las solicitudes directas a los endpoints de la API y a la interfaz web procedentes de redes distintas de las administrativas. Cualquier cambio en la configuración, cuenta nueva, modificación de credenciales o servicio activado sin autorización requiere un análisis inmediato.

Medidas operativas para reducir la exposición

La primera tarea consiste en elaborar un inventario de todos los switches ArubaOS-CX, incluidos los instalados en oficinas remotas, laboratorios y redes de gestión independientes. El inventario debe incluir, como mínimo, el modelo, la rama de software, la versión instalada, el papel en la red y la exposición de las interfaces administrativas.

A continuación, las organizaciones deberían:

1. instalar la versión correctiva mínima prevista para cada rama;
2. planificar la migración desde los sistemas basados en la rama 10.10, que se encuentra en End of Maintenance;
3. permitir el acceso a la gestión web, las API y la CLI únicamente desde las redes administrativas necesarias;
4. eliminar de inmediato las contraseñas predeterminadas de los dispositivos nuevos o recién sometidos a ZTP;
5. revisar las cuentas con pocos privilegios, ya que varios fallos permiten convertir ese acceso en control privilegiado;
6. recopilar y centralizar los registros de los switches, conservando los eventos anteriores y posteriores a la actualización;
7. comprobar las configuraciones, los archivos y la actividad administrativa para detectar posibles alteraciones ya producidas.

La relevancia de las cuentas válidas también aparece en el Blue Report 2026, basado en 338 millones de simulaciones en entornos de producción: cuando los atacantes utilizan credenciales legítimas, solo se bloquea el 37 % de sus acciones. En el caso de ArubaOS-CX, este dato resulta especialmente relevante para las vulnerabilidades que requieren unos privilegios iniciales mínimos y permiten elevarlos posteriormente.