ArubaOS-CX, falla critica espone gli switch HPE all’esecuzione remota di codice

Hewlett Packard Enterprise ha corretto una vulnerabilità critica in ArubaOS-CX, il sistema operativo degli switch enterprise HPE Aruba Networking. Il difetto, identificato come CVE-2026-73749, può permettere a un aggressore remoto e privo di credenziali di eseguire codice con privilegi elevati.

La vulnerabilità è stata resa pubblica il 3 settembre 2026 e ha un punteggio CVSS di 9,8 su 10. HPE non è a conoscenza di attacchi attivi né di proof-of-concept pubblici, ma le caratteristiche tecniche rendono prioritario l’aggiornamento dei dispositivi raggiungibili attraverso la rete.

Il bollettino comprende anche altre 23 vulnerabilità, alcune delle quali consentono command injection, bypass dell’autenticazione, scrittura arbitraria di file ed escalation dei privilegi.

Un buffer overflow sfruttabile senza autenticazione

CVE-2026-73749 deriva da una gestione non sicura degli input ricevuti da un daemon di ArubaOS-CX. Un aggressore può inviare al processo vulnerabile pacchetti appositamente costruiti, provocando un buffer overflow e ottenendo potenzialmente l’esecuzione di codice sullo switch.

Non servono credenziali né l’interazione di un amministratore. L’attaccante deve però poter raggiungere il servizio interessato attraverso la rete.

Il vettore CVSS — CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H — descrive un attacco remoto, di bassa complessità e senza privilegi iniziali. L’impatto previsto è elevato su riservatezza, integrità e disponibilità.

Il bollettino non specifica quali pacchetti o protocolli attivino il difetto, né identifica pubblicamente il daemon coinvolto. Non sono stati inoltre forniti indicatori di compromissione specifici, firme di rete o sequenze di input da utilizzare per le attività di rilevamento.

Una compromissione con privilegi elevati potrebbe consentire di modificare la configurazione del dispositivo, interferire con le funzioni di gestione o interrompere il traffico. Le conseguenze dipendono anche dal ruolo dello switch nella rete e dalla segmentazione applicata alle interfacce amministrative.

ArubaOS-CX viene utilizzato in reti aziendali, data center, università, strutture sanitarie, amministrazioni pubbliche e provider di servizi. Un attacco riuscito contro uno switch centrale può quindi avere effetti più ampi rispetto alla compromissione del singolo apparato.

Le versioni da aggiornare immediatamente

HPE ha indicato le release che contengono le correzioni per ciascun ramo supportato:

Versione o ramo vulnerabile	Release correttiva minima
10.18.0001	10.18.1002 o successiva
10.17.1021 e precedenti	10.17.1030 o successiva
10.16.1051 e precedenti	10.16.1060 o successiva
10.13.1180 e precedenti	10.13.1190 o successiva
10.10.1180 e precedenti	10.10.1181 o successiva

La mitigazione indicata dal produttore consiste nell’installare almeno la versione correttiva prevista per il ramo in uso. Non è stato descritto un workaround equivalente all’aggiornamento.

Merita attenzione il ramo AOS-CX 10.10. La release 10.10.1181 ha già raggiunto lo stato di End of Maintenance e riceve soltanto correzioni limitate ai problemi critici individuati internamente da HPE. CVE-2026-73749 rientra in questa eccezione, ma utilizzare una release EOM lascia meno margine per la gestione delle vulnerabilità future.

Dopo l’installazione, gli amministratori dovrebbero verificare la versione effettivamente attiva su ogni switch. Nei contesti con ridondanza, l’aggiornamento va pianificato considerando riavvii, failover e possibili interruzioni del piano di controllo.

Non soltanto CVE-2026-73749: il bollettino copre più superfici d’attacco

Le altre vulnerabilità corrette mostrano che il rischio non è circoscritto a un singolo servizio. Sono coinvolti interfaccia web, API, riga di comando, moduli di gestione, meccanismi di autenticazione e procedure iniziali di provisioning.

Tra i difetti con punteggio CVSS 8,8 figurano:

• CVE-2026-73750, che permette a un utente remoto con bassi privilegi di inviare input malformati o incompleti a un modulo di gestione. Le conseguenze possibili sono denial of service o esecuzione di codice privilegiato.
• CVE-2026-73751, una command injection nell’interfaccia web sfruttabile da un account con privilegi limitati.
• CVE-2026-73752, che consente a un attaccante non autenticato sulla rete adiacente di scrivere file arbitrari mediante un endpoint API, creando le condizioni per una successiva esecuzione di codice.
• CVE-2026-73753, attraverso cui un utente con bassi privilegi può abusare di operazioni CLI ed eseguire comandi come utente privilegiato.
• CVE-2026-73782, una format string nella CLI sfruttabile senza autenticazione da una rete adiacente per eseguire codice privilegiato.

Il requisito di accesso alla rete adiacente limita l’esposizione di CVE-2026-73752 e CVE-2026-73782 rispetto a una falla pienamente remota. Non elimina però il pericolo in reti locali condivise, segmenti di gestione accessibili o ambienti nei quali un aggressore abbia già compromesso un altro sistema.

Altri problemi riguardano direttamente autenticazione e sessioni amministrative. CVE-2026-73779 può consentire il bypass dei controlli di autenticazione; CVE-2026-73777 permette di eludere controlli di accesso su un endpoint API e aumentare i privilegi.

CVE-2026-73778 sfrutta invece una password predefinita prevedibile. Il rischio riguarda i dispositivi ancora nello stato di fabbrica o nella fase successiva al provisioning Zero Touch, prima della configurazione di nuove credenziali.

Sul versante web, CVE-2026-73781, valutata CVSS 8,4, è una stored cross-site scripting che richiede l’interazione di un amministratore. CVE-2026-73780, con punteggio CVSS 8,3, sfrutta l’assenza di protezioni CSRF in alcune sessioni autenticate mediante certificato: la vittima deve aprire un URL predisposto dall’attaccante.

Nessun attacco noto, ma non ci sono indicatori pronti all’uso

Al momento della pubblicazione, HPE ha dichiarato di non avere evidenze di sfruttamento attivo. Non risultano neppure proof-of-concept pubblici mirati alle vulnerabilità elencate.

Non è stata comunicata l’inclusione di CVE-2026-73749 nel catalogo Known Exploited Vulnerabilities della CISA. Non sono quindi disponibili una data di ingresso nel KEV o una scadenza federale associata. Il quadro attuale distingue la falla da una vulnerabilità già confermata come sfruttata, senza rendere meno urgente la correzione.

In assenza di indicatori specifici, il monitoraggio deve concentrarsi sui comportamenti anomali: crash o riavvii inattesi dei daemon, input malformati, autenticazioni insolite, modifiche non autorizzate, creazione di file e comandi amministrativi non riconducibili alle attività pianificate.

Vanno controllate anche le richieste dirette agli endpoint API e all’interfaccia web provenienti da reti diverse da quelle amministrative. Eventuali variazioni della configurazione, nuovi account, credenziali modificate o servizi attivati senza autorizzazione richiedono un’analisi immediata.

Le misure operative per ridurre l’esposizione

La prima attività consiste nel censire tutti gli switch ArubaOS-CX, compresi quelli installati in sedi periferiche, laboratori e reti di gestione separate. L’inventario deve riportare almeno modello, ramo software, release installata, ruolo di rete ed esposizione delle interfacce amministrative.

Le organizzazioni dovrebbero quindi:

1. installare la release correttiva minima prevista per ciascun ramo;
2. pianificare la migrazione dai sistemi basati sul ramo 10.10 in End of Maintenance;
3. rendere web management, API e CLI accessibili soltanto dalle reti amministrative necessarie;
4. rimuovere immediatamente le password predefinite dai dispositivi nuovi o appena sottoposti a ZTP;
5. riesaminare gli account con bassi privilegi, poiché diverse falle permettono di trasformarne l’accesso in controllo privilegiato;
6. raccogliere e centralizzare i log degli switch, conservando gli eventi precedenti e successivi all’aggiornamento;
7. verificare configurazioni, file e attività amministrative per individuare eventuali alterazioni già avvenute.

La rilevanza degli account validi emerge anche dal Blue Report 2026, basato su 338 milioni di simulazioni in ambienti di produzione: quando gli aggressori usano credenziali legittime, viene bloccato soltanto il 37% delle loro azioni. Nel caso ArubaOS-CX, questo dato è particolarmente pertinente alle vulnerabilità che richiedono privilegi iniziali minimi e permettono poi di elevarli.