Пароль администратора теперь общий. Софт от HP снова удивляет безопасников странными багами
Случайный посетитель теперь может распоряжаться ресурсами целых сетей.
Hewlett Packard Enterprise устранила несколько уязвимостей в сетевой операционной системе Aruba Networking AOS-CX, применяемой в коммутаторах серии CX для корпоративных сетей и дата-центров. Наиболее опасная проблема позволяла злоумышленнику без учётной записи изменить пароль администратора через интерфейс управления устройством.
AOS-CX — облачная сетевая операционная система, разработанная подразделением Aruba Networks. Платформа управляет коммутаторами кампусных сетей и инфраструктуры центров обработки данных. Новые исправления закрывают ряд ошибок, связанных с аутентификацией и возможностью выполнения произвольного кода.
Наиболее серьёзную угрозу представляла уязвимость с идентификатором CVE-2026-23813. Ошибка в веб-интерфейсе управления позволяла удалённому атакующему обходить механизмы проверки доступа. При определённых условиях такая атака давала возможность изменить пароль администратора. Для эксплуатации не требовались привилегии и сложные подготовительные действия.
Компания сообщила, что на момент публикации уведомления не обнаружила открытых обсуждений, готовых инструментов эксплуатации или подтверждённых атак, использующих обнаруженные проблемы.
Администраторам, которые не могут сразу установить обновления безопасности, рекомендовано временно ограничить доступ к интерфейсам управления. Среди предложенных мер — изоляция управляющего трафика в отдельном сегменте Layer 2 или VLAN, строгий контроль доступа на уровне Layer 3, отключение HTTP и HTTPS на виртуальных интерфейсах и маршрутизируемых портах, а также применение списков контроля доступа для REST и веб-интерфейсов. Дополнительно советуют включить детальное журналирование и мониторинг операций управления, чтобы быстрее выявлять подозрительные действия.
Hewlett Packard Enterprise уже не первый раз предупреждает о проблемах безопасности в собственной инфраструктуре. Летом 2025 года компания сообщала о встроенных учётных данных в точках доступа Aruba Instant On, позволявших обходить стандартную аутентификацию устройств. В июне того же года разработчики закрыли восемь уязвимостей в системе резервного копирования StoreOnce, среди которых находились ошибки обхода аутентификации и удалённого выполнения кода.
В январе 2026 года Агентство по кибербезопасности и защите инфраструктуры США включило критическую уязвимость в платформе HPE OneView в список активно используемых злоумышленниками.