HPE patcha due falle RCE critiche in ArubaOS-CX: debito tecnico strutturale

HPE ha pubblicato il 1 settembre 2026 patch per 34 vulnerabilità nella piattaforma ArubaOS-CX (AOS-CX), il sistema operativo che equipaggia switch enterprise, data center e infrastrutture di campus. Due di queste falle consentono esecuzione remota di codice non autenticata, con impatto massimo sul rischio di compromissione del traffico di rete. La criticità non sta solo nella gravità singola: i due path RCE sono indipendenti, toccano componenti distinti del sistema operativo e richiedono entrambi sola reachability di rete, senza autenticazione né interazione utente.

Il buffer overflow in CVE-2026-73749: corruzione di memoria a rete aperta

L'advisory ufficiale HPE (HPESBNW05134) descrive CVE-2026-73749 come un insieme di vulnerabilità in un daemon di ArubaOS-CX che non controlla correttamente la dimensione dell'input. Un attaccante remoto non autenticato invia pacchetti craftati al servizio interessato. La mancata validazione causa buffer overflow, con conseguente corruzione di memoria ed esecuzione di codice arbitrario con privilegi elevati. Il vettore di attacco è rete, complessità bassa, nessun privilegio richiesto, nessuna interazione utente: il modello CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H assegna punteggio 9.8, critico.

Il daemon non è identificato per nome nei documenti ufficiali. Quasi due dozzine di issue distinte sono state raggruppate sotto questo identificatore, suggerendo un'area di codice con controlli di confine sistematicamente insufficienti piuttosto che un bug isolato.

Il secondo path: format string RCE nella CLI

CVE-2026-73782 introduce una variabile completamente diversa. Secondo l'analisi di TechTimes, questa vulnerabilità è una format string nella command-line interface dello switch. L'impatto è identico in termini di obiettivo — esecuzione remota di codice — ma il meccanismo di fallimento è ortogonale al primo: dove CVE-2026-73749 sfrutta un errore di gestione della memoria in un servizio di rete, CVE-2026-73782 sfrutta un errore di parsing degli input nella CLI.

Questa doppia indipendenza è il dato che eleva il rischio da critico a sistemico. I controlli compensativi parziali — rate limiting su un servizio, monitoraggio di un protocollo specifico, restrizione d'accesso a un'interfaccia — sono inefficaci contro un attaccante che può cambiare vettore. Se un percorso è bloccato, l'altro resta aperto.

"Multiple vulnerabilities exist in a daemon of ArubaOS-CX that may allow for improper processing of malformed input. An unauthenticated remote attacker could exploit these vulnerabilities by sending specially crafted packets to the affected service. Successful exploitation could result in remote code execution with elevated privileges." — HPE Advisory HPESBNW05134

Scope hardware e versioni: decine di modelli CX sotto osservamento

Il record NVD per CVE-2026-73749 estende il contesto hardware a decine di modelli Aruba CX: serie 6000, 6100, 6200, 6300, 6400, 8320, 8325, 8360, 8400, 9300, 10000 e altri. Questi switch operano al layer 2/layer 3 del core di rete, posizione che rende la compromissione particolarmente sensibile: un attore con RCE su infrastruttura di switching può intercettare, reindirizzare o manipolare il traffico organizzativo prima che questo raggiunga endpoint o firewall di perimetro.

Le versioni affette coprono cinque branch: 10.18.0001 e precedenti, 10.17.1021 e precedenti, 10.16.1051 e precedenti, 10.13.1180 e precedenti, 10.10.1180 e precedenti. Le build corrette sono rispettivamente 10.18.1002, 10.17.1030, 10.16.1060, 10.13.1190, 10.10.1181.

La branch 10.10.x è in End of Maintenance (EOM). L'advisory HPE indica che riceve fix solo per issue critiche scoperte internamente. Questa condizione espone organizzazioni con upgrade bloccati da compatibilità o budget a una finestra di esposizione potenzialmente più lunga, con rischio di interruzione del supporto per vulnerabilità future.

Il resto del bulletin: 32 CVE oltre le due RCE principali

SecurityWeek riporta che 22 CVE ad alta severità — con punteggi CVSS tra 8.1 e 8.8 — includono denial of service, RCE aggiuntive, command injection, cross-site scripting, authentication bypass e privilege escalation. Le 11 rimanenti sono a severità media e riguardano bypass di controlli accesso, information disclosure, file read arbitrario, DoS e privilege escalation.

CVE-2026-73778 (CVSS 8.1, HIGH) merita attenzione separata: consente accesso amministrativo completo tramite password factory-default prevedibile su dispositivi non configurati. Secondo BleepingComputer, questa falla riduce a zero la barriera di accesso per attaccanti con reachability fisica o di rete verso switch appena installati o resettati.

Cosa fare adesso

HPE raccomanda di applicare le patch alle versioni fissate per ogni branch attivo. L'advisory suggerisce inoltre di restringere accesso CLI e interfaccia web a VLAN dedicate di layer 2 e/o policy firewall di layer 3 e superiori, riducendo la superficie esposta ai vettori di attacco remoto.

Per le organizzazioni con Virtual Switching Extension (VSX), la fonte nflo.tech segnala che procedure di upgrade dedicate minimizzano il downtime operativo, sebbene il dossier non specifichi dettagli tecnici di queste procedure.

Non emergono nel brief indicazioni su controlli compensativi alternativi, workaround senza patch o azioni di monitoraggio specifiche per rilevare exploitation tentata.

Debito tecnico al centro dello switching enterprise

La coesistenza di buffer overflow e format string nello stesso bulletin, entrambi con impatto RCE non autenticato, indica un problema di qualità del codice che trascende la singola vulnerabilità. I due meccanismi di fallimento richiedono pattern di programmazione difettosi distinti: mancato controllo dei limiti di memoria in un caso, mancata validazione degli input di formato nell'altro. La scoperta interna della maggior parte delle falle — un dato positivo per la responsabilità del vendor — non attenua la questione strutturale: il codice base di AOS-CX contiene aree con pratiche di sviluppo insufficentemente robuste per software che gira su infrastruttura di rete critica.

La posizione architetturale dello switch — silenzioso, fondamentale, spesso trascurato nei cicli di patch rispetto ai server e agli endpoint — lo rende un bersaglio ad alto rendimento per attaccanti sofisticati. La capacità di eseguire codice a questo livello non richiede di compromettere endpoint, bypassare EDR o ingegnerizzare phishing: richiede solo reachability di rete verso un daemon esposto.

L'assenza di exploitation confermata al momento della pubblicazione offre una finestra operativa, ma la natura non autenticata delle falle e la semplicità del vettore (pacchetti craftati) suggeriscono che proof-of-concept possano emergere con tempi compressi una volta analizzate le patch.

Fonti

• https://www.securityweek.com/hpe-patches-critical-rce-vulnerabilities-in-aos-cx/
• https://securityonline.info/hpe-aos-cx-cve-2026-73749-rce/
• https://www.bleepingcomputer.com/news/security/hpe-patches-critical-arubaos-cx-remote-code-execution-flaw/
• https://nflo.tech/knowledge-base/2026-09-01-cve-2026-73749-en/
• https://www.techtimes.com/articles/326586/20260904/hpe-patches-arubaos-cx-two-independent-no-credentials-rce-paths-found-same-bulletin.htm
• https://nvd.nist.gov/vuln/detail/CVE-2026-73749
• https://support.hpe.com/hpesc/public/docDisplay?docId=hpesbnw05134en_us&docLocale=en_US

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

• https://www.prsol.cc/2026/09/04/hpe-patches-critical-arubaos-cx-remote-code-execution-flaw/
• https://podcast.securityweek.com/