ArubaOS-CX : une faille critique expose les commutateurs HPE à l’exécution de code à distance

Hewlett Packard Enterprise a corrigé une vulnérabilité critique dans ArubaOS-CX, le système d’exploitation des commutateurs d’entreprise HPE Aruba Networking. Référencée CVE-2026-73749, cette faille pourrait permettre à un attaquant distant et non authentifié d’exécuter du code avec des privilèges élevés.

La vulnérabilité a été rendue publique le 3 septembre 2026 et affiche un score CVSS de 9,8 sur 10. HPE n’a connaissance d’aucune attaque active ni d’aucun proof of concept public, mais ses caractéristiques techniques rendent prioritaire la mise à jour des équipements accessibles depuis le réseau.

Le bulletin couvre également 23 autres vulnérabilités, dont certaines permettent une injection de commandes, un contournement de l’authentification, l’écriture arbitraire de fichiers ou encore une élévation de privilèges.

Un buffer overflow exploitable sans authentification

La CVE-2026-73749 résulte d’une gestion insuffisamment sécurisée des entrées reçues par un daemon d’ArubaOS-CX. Un attaquant peut envoyer au processus vulnérable des paquets spécialement conçus afin de provoquer un buffer overflow et potentiellement exécuter du code sur le commutateur.

Aucun identifiant ni aucune interaction avec un administrateur ne sont nécessaires. L’attaquant doit toutefois pouvoir accéder au service concerné depuis le réseau.

Le vecteur CVSS — CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H — décrit une attaque à distance, de faible complexité et ne nécessitant aucun privilège initial. L’impact attendu est élevé sur la confidentialité, l’intégrité et la disponibilité.

Le bulletin ne précise pas quels paquets ou protocoles déclenchent la faille et n’identifie pas publiquement le daemon concerné. Aucun indicateur de compromission spécifique, aucune signature réseau ni séquence d’entrée exploitable pour les activités de détection n’ont par ailleurs été fournis.

Une compromission avec des privilèges élevés pourrait permettre de modifier la configuration de l’équipement, d’interférer avec les fonctions d’administration ou d’interrompre le trafic. Les conséquences dépendent également du rôle du commutateur dans le réseau et de la segmentation appliquée aux interfaces d’administration.

ArubaOS-CX est utilisé dans les réseaux d’entreprise, les datacenters, les universités, les établissements de santé, les administrations publiques et les fournisseurs de services. Une attaque réussie contre un commutateur central peut donc avoir des répercussions plus importantes que la compromission d’un seul équipement.

Les versions à mettre à jour immédiatement

HPE a indiqué les versions contenant les correctifs pour chaque branche prise en charge :

Version ou branche vulnérable	Version corrective minimale
10.18.0001	10.18.1002 ou ultérieure
10.17.1021 et antérieures	10.17.1030 ou ultérieure
10.16.1051 et antérieures	10.16.1060 ou ultérieure
10.13.1180 et antérieures	10.13.1190 ou ultérieure
10.10.1180 et antérieures	10.10.1181 ou ultérieure

La mesure d’atténuation recommandée par le constructeur consiste à installer au minimum la version corrective correspondant à la branche utilisée. Aucun workaround équivalent à la mise à jour n’a été décrit.

Une attention particulière doit être accordée à la branche AOS-CX 10.10. La version 10.10.1181 a déjà atteint le statut End of Maintenance et ne reçoit plus que des correctifs limités aux problèmes critiques identifiés en interne par HPE. La CVE-2026-73749 relève de cette exception, mais l’utilisation d’une version EOM réduit la marge de manœuvre pour traiter les futures vulnérabilités.

Après l’installation, les administrateurs doivent vérifier la version effectivement active sur chaque commutateur. Dans les environnements redondants, la mise à jour doit être planifiée en tenant compte des redémarrages, des basculements et des éventuelles interruptions du plan de contrôle.

Pas seulement la CVE-2026-73749 : le bulletin couvre plusieurs surfaces d’attaque

Les autres vulnérabilités corrigées montrent que le risque ne se limite pas à un seul service. L’interface web, les API, la ligne de commande, les modules d’administration, les mécanismes d’authentification et les procédures initiales de provisioning sont concernés.

Parmi les failles affichant un score CVSS de 8,8 figurent :

• CVE-2026-73750, qui permet à un utilisateur distant disposant de faibles privilèges d’envoyer des entrées malformées ou incomplètes à un module d’administration. Les conséquences possibles sont un déni de service ou l’exécution de code privilégié.
• CVE-2026-73751, une injection de commandes dans l’interface web exploitable depuis un compte disposant de privilèges limités.
• CVE-2026-73752, qui permet à un attaquant non authentifié présent sur le réseau adjacent d’écrire arbitrairement des fichiers via un endpoint d’API, créant les conditions nécessaires à une exécution de code ultérieure.
• CVE-2026-73753, par laquelle un utilisateur disposant de faibles privilèges peut détourner des opérations de la CLI et exécuter des commandes avec les privilèges d’un utilisateur privilégié.
• CVE-2026-73782, une vulnérabilité de type format string exploitable sans authentification depuis un réseau adjacent pour exécuter du code privilégié.

L’exigence d’un accès au réseau adjacent limite l’exposition des CVE-2026-73752 et CVE-2026-73782 par rapport à une faille pleinement exploitable à distance. Elle n’élimine toutefois pas le risque dans les réseaux locaux partagés, les segments d’administration accessibles ou les environnements dans lesquels un attaquant a déjà compromis un autre système.

D’autres problèmes concernent directement l’authentification et les sessions d’administration. La CVE-2026-73779 peut permettre de contourner les contrôles d’authentification ; la CVE-2026-73777 permet de contourner les contrôles d’accès d’un endpoint d’API et d’élever les privilèges.

La CVE-2026-73778 exploite quant à elle un mot de passe par défaut prévisible. Le risque concerne les équipements encore dans leur état d’usine ou se trouvant dans la phase suivant un provisioning Zero Touch, avant la configuration de nouveaux identifiants.

Sur le volet web, la CVE-2026-73781, évaluée à CVSS 8,4, est une vulnérabilité de type stored cross-site scripting qui nécessite l’interaction d’un administrateur. La CVE-2026-73780, notée CVSS 8,3, exploite l’absence de protections CSRF dans certaines sessions authentifiées par certificat : la victime doit ouvrir une URL préparée par l’attaquant.

Aucune attaque connue, mais aucun indicateur directement exploitable

Au moment de la publication, HPE a déclaré ne disposer d’aucun élément attestant une exploitation active. Aucun proof of concept public ciblant les vulnérabilités répertoriées n’a non plus été identifié.

La présence de la CVE-2026-73749 dans le catalogue Known Exploited Vulnerabilities de la CISA n’a pas été communiquée. Aucune date d’ajout au KEV ni aucune échéance fédérale associée ne sont donc disponibles. La situation actuelle distingue cette faille d’une vulnérabilité dont l’exploitation est déjà confirmée, sans pour autant réduire l’urgence du correctif.

En l’absence d’indicateurs spécifiques, la surveillance doit se concentrer sur les comportements anormaux : plantages ou redémarrages inattendus des daemons, entrées malformées, authentifications inhabituelles, modifications non autorisées, création de fichiers et commandes d’administration ne correspondant pas aux activités planifiées.

Les requêtes directes adressées aux endpoints d’API et à l’interface web depuis des réseaux autres que les réseaux d’administration doivent également être contrôlées. Toute modification de configuration, tout nouveau compte, toute modification d’identifiants ou tout service activé sans autorisation doit faire l’objet d’une analyse immédiate.

Les mesures opérationnelles pour réduire l’exposition

La première étape consiste à recenser tous les commutateurs ArubaOS-CX, y compris ceux installés sur des sites distants, dans des laboratoires et sur des réseaux d’administration distincts. L’inventaire doit au minimum préciser le modèle, la branche logicielle, la version installée, le rôle réseau et l’exposition des interfaces d’administration.

Les organisations doivent ensuite :

1. installer la version corrective minimale prévue pour chaque branche ;
2. planifier la migration des systèmes reposant sur la branche 10.10, désormais en End of Maintenance ;
3. rendre l’administration web, les API et la CLI accessibles uniquement depuis les réseaux d’administration nécessaires ;
4. supprimer immédiatement les mots de passe par défaut des équipements neufs ou récemment soumis à un ZTP ;
5. réexaminer les comptes disposant de faibles privilèges, car plusieurs failles permettent de transformer leur accès en contrôle privilégié ;
6. collecter et centraliser les journaux des commutateurs, en conservant les événements antérieurs et postérieurs à la mise à jour ;
7. vérifier les configurations, les fichiers et les activités d’administration afin d’identifier d’éventuelles modifications déjà effectuées.

L’importance des comptes valides ressort également du Blue Report 2026, fondé sur 338 millions de simulations réalisées dans des environnements de production : lorsque les attaquants utilisent des identifiants légitimes, seules 37 % de leurs actions sont bloquées. Dans le cas d’ArubaOS-CX, cette donnée est particulièrement pertinente pour les vulnérabilités nécessitant des privilèges initiaux limités et permettant ensuite de les élever.