CVE-2026-76658: Kritische Sicherheitslücke in HPE Fabric Composer ermöglicht unautorisierte Remote Code-Ausführung

HPE hat Sicherheitsupdates veröffentlicht, die eine Sicherheitslücke mit der höchstmöglichen Schwere bei der Remote-Code-Ausführung betreffen, die seine Management-Plattform für Netzwerkstrukturen betrifft. Diese Schwachstelle wird als CVE-2026-76658 verfolgt und auf der CVSS v3.1-Skala mit 10,0 bewertet. Sie kann einem unauthentifizierten Angreifer aus der Ferne Zugang auf Administratorebene ermöglichen und beliebige Befehle als privilegierter Benutzer des Betriebssystems ausführen.

Die Schwachstelle befindet sich im von HPE Networking Fabric Composer verwendeten SSH-Daemon, einer Plattform zur Verwaltung und Automatisierung von Netzwerkstrukturen im Rechenzentrum. Bei erfolgreicher Ausnutzung kann es zu einer vollständigen Kompromittierung des betroffenen Management-Hosts kommen, was ein potenziell ernstes Risiko darstellt, da das Gerät möglicherweise privilegierte Einsicht und Kontrolle über die Netzwerkinfrastruktur hat.

CVE-2026-76658 ist eine von Dutzenden von Sicherheitsfragen, die durch das HPE-Bulletin HPESBNW05133 abgedeckt werden. Eine weitere Schwachstelle in derselben Veröffentlichung, CVE-2026-76657, trägt ebenfalls eine CVSS-Bewertung von 10,0 und kann es Angreifern ermöglichen, die API-Authentifizierung zu umgehen und Administratorrechte zu erlangen.

Zum Zeitpunkt der Veröffentlichung erklärte HPE, dass ihm kein öffentlicher Exploit-Code oder öffentliche Diskussionen bekannt seien, die sich auf die neu gepatchten Schwachstellen beziehen. Trotzdem macht die Kombination aus Fernzugriff, geringer Angriffskomplexität, keiner Authentifizierungsanforderung sowie der vollständigen Beeinträchtigung von Vertraulichkeit, Integrität und Verfügbarkeit CVE-2026-76658 zu einer dringenden Priorität für Abhilfemaßnahmen.

Analyse von CVE-2026-76658

Die Schwachstelle betrifft speziell den SSH-Daemon des Produkts. Laut der CVE-Beschreibung von HPE kann ein Angreifer aus der Ferne mit einem anfälligen Fabric Composer-Host interagieren, ohne sich vorher authentifizieren zu müssen, und erhält administrativen Zugang. Bei erfolgreicher Ausnutzung können dann beliebige Befehle als privilegierter Benutzer auf dem zugrunde liegenden Betriebssystem ausgeführt werden, was potenziell zu einer vollständigen Systemkompromittierung führen kann.

Die wichtigsten Details für CVE-2026-76658 spiegeln sich in seinem CVSS-Vektor wider: AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. Dies bedeutet, dass die Ausnutzung netzwerkzugänglich ist, eine geringe Angriffskomplexität aufweist, keine bestehenden Privilegien und keine Interaktion des Opfers erfordert und zu einer hohen Beeinträchtigung von Vertraulichkeit, Integrität und Verfügbarkeit führen kann. Der Umfang wird ebenfalls als verändert markiert, was darauf hindeutet, dass eine erfolgreiche Ausnutzung Sicherheitsressourcen über die anfällige SSH-Komponente hinaus betreffen kann.

CVE-2026-76658 betrifft Fabric Composer-Versionen ab Version 7.0.0 bis 7.3.3. HPEs Sicherheitsbulletin empfiehlt, Systeme, die sich noch in der Version 7.3 befinden, auf 7.3.4 oder höherupzugraden, während Organisationen, die zur neueren Version wechseln, Version 7.4.0 oder höher.

nutzen sollten.

Im Gegensatz zu Schwachstellen, die gültige Administratoranmeldedaten oder einen bestehenden Zugriffspunkt erfordern, kann dieses Problem möglicherweise von einem externen Akteur ausgelöst werden, der den anfälligen SSH-Dienst erreichen kann. Administratoren sollten daher genau darauf achten, ob die Management-Schnittstelle von Benutzernetzwerken, externer Infrastruktur oder anderen nicht vertrauenswürdigen Segmenten erreichbar ist.

HPE hat den genauen fehlerhaften Datenpaket, die Authentifizierungssequenz, den Implementierungsfehler oder den Protokollzustand, der zur Ausnutzung des Problems erforderlich ist, nicht öffentlich dokumentiert. Es wäre daher ungenau, die Schwachstelle als spezifischen Pufferüberlauf, fest kodierte Anmeldedaten, Befehlsinjektion oder kryptographische Schwäche basierend allein auf den derzeit verfügbaren Informationen zu charakterisieren.

Was bestätigt ist, ist das resultierende Versagen der Sicherheitsgrenze: Ein unautorisierter Nutzer aus der Ferne kann administrativen Zugriff erlangen und Befehle mit privilegierten Betriebssystemrechten ausführen. Wenn ausgenutzt, könnte ein Angreifer potenziell die Fabric Composer-Konfiguration ändern, auf Informationen auf dem Management-Host zugreifen, Management-Funktionen stören, Persistenz herstellen oder das System als Ausgangspunkt für weitere Aktivitäten gegen erreichbare Infrastruktur nutzen. Cyber Security News hebt speziell hervor, dass das Gerät kompromittiert werden kann, dies Angreifern ermöglicht, die Konfiguration zu ändern, Informationen zu stehlen oder weiter in die Umgebung der Organisation vorzudringen.

Das breitere HPESBNW05133 Bulletin erhöht das Risiko, da es zahlreiche Schwächen in der API, der webbasierten Management-Schnittstelle, den Installationskomponenten und dem zugrunde liegenden Betriebssystem enthält. Berichtete Schwachstellenklassen umfassen Authentifizierungsumgehung, Remote-Code-Ausführung, Cross-Site Scripting, beliebiges Datei-Schreiben, SQL-Injection, Pfad-Traversal, Privilegieneskalation, Offenlegung von Informationen, Befehlsinjektion und Denial-of-Service.

Einige dieser Probleme könnten auch in verketteten Angriffen nützlich sein. Zum Beispiel ermöglicht CVE-2026-76657 unabhängig unauthentifizierten Angreifern aus der Ferne, die API-Authentifizierung zu umgehen und administrative Zugriffsrechte zu erlangen, während CVE-2026-19766 unter seinen erforderlichen Bedingungen eine privilegierte Code-Ausführung aus einem angrenzenden Netzwerk ermöglichen kann.

Der öffentliche CVE-Eintrag wurde am 1. September 2026veröffentlicht. Das genaue ursprüngliche Entdeckungsdatum für CVE-2026-76658 wurde nicht offengelegt. Die CNA-Metadaten verzeichnen das Problem als extern entdeckt und identifizieren den Beitragenden nicht namentlich, während Berichte über das breitere HPE-Bulletin darauf hinweisen, dass mehrere Schwachstellen auch durch HPEs eigene Sicherheitsforschung aufgedeckt wurden.

Stand 2. September gab es keinen bekannten öffentlichen CVE-2026-76658 PoC und HPE hatte keine aktive Ausnutzung gemeldet. Die Schwachstelle war zu diesem Zeitpunkt auch nicht im CISA-Katalog der bekannten ausgenutzten Schwachstellen aufgeführt.

Das Fehlen öffentlichen Exploit-Codes sollte nicht als geringes Risiko interpretiert werden. Eine netzwerkzugängliche CVSS 10.0 Schwachstelle in einem administrativen SSH-Dienst kann erheblich gefährlicher werden, wenn Forscher oder Bedrohungsakteure die präzise Ausnutzungstechnik bestimmen, insbesondere wenn anfällige Geräte von weniger vertrauenswürdigen Netzsegmenten aus erreichbar sind.

Derzeit gibt es keine vom Anbieter veröffentlichten CVE-2026-76658 IOCs, die mit Ausbeutungs-Kampagnen in Verbindung stehen. Verteidiger müssen sich daher hauptsächlich auf die Versionsexposition, unerwartete SSH-Aktivitäten, administratives Verhalten und Veränderungen am Management-Gerät konzentrieren, anstatt sich auf bekannte bösartige Hashes, Domains oder Angreifer-IP-Adressen zu verlassen.

Vertrieb kontaktieren

CVE-2026-76658 Abmilderung

Organisationen sollten betroffene Fabric Composer-Installationen sofort aktualisieren. HPE empfiehlt die folgenden festen Versionen:

• Fabric Composer 7.3.4 oder höher für Organisationen, die auf dem Branch 7.3 bleiben
• Fabric Composer 7.4.0 oder höher für Installationen, die den Branch 7.4 verwenden

Ältere Versionen, die das Ende der Wartung erreicht haben, sollten als potenziell anfällig angesehen werden, es sei denn, HPE gibt ausdrücklich etwas anderes an. Nicht unterstützte Versionen wurden nicht unbedingt bewertet und sollten nicht einfach als sicher angesehen werden, nur weil sie in der Tabelle der unterstützten Versionen fehlen.

Die Erkennung von CVE-2026-76658 sollte mit der Identifizierung jeder Fabric Composer-Appliance beginnen, indem ihre genaue laufende Version bestätigt und festgestellt wird, von wo aus ihre SSH-Management-Schnittstelle erreichbar ist. Jede Installation, die Version 7.3.3 oder früher ausführt, sollte bei Abhilfemaßnahmen Vorrang haben.

Organisationen sollten auch überprüfen, ob SSH- und Web-Management-Schnittstellen von allgemeinen und nicht vertrauenswürdigen Netzwerken isoliert sind. HPE empfiehlt, Management-Schnittstellen auf einem dedizierten Layer 2-Segment oder VLAN zu platzieren und Layer 3-Firewall-Kontrollen durchzusetzen, um einzuschränken, welche Systeme diese erreichen können.

Um CVE-2026-76658-Ausbeutungsversuche oder verdächtige Aktivitäten nach Kompromittierung zu erkennen, sollten Sicherheitsteams Geräte-, Authentifizierungs-, Netzwerk- und Management-Telemetrie auf folgende Dinge überprüfen:

• Unerwartete SSH-Verbindungen von unbekannten Systemen oder Netzwerksegmenten
• Adminsitzungen ohne entsprechende berechtigte Wartungsaktivität
• Neue oder geänderte Administratorenkonten
• Befehle, die außerhalb der erwarteten administrativen Arbeitsabläufe ausgeführt werden
• Unerwartete Änderungen an der Fabric Composer-Konfiguration
• Neue ausgehende Netzwerkverbindungen, die vom Management-Gerät ausgehen
• Versuche, Protokollierungs- und Kontrollmechanismen zu deaktivieren oder zu ändern
• Ungeklärter Zugang zur verwalteten Netzwerkinfrastruktur
• Konfigurationsänderungen unmittelbar nach verdächtiger SSH-Aktivität
• Persistenzmechanismen oder unerwartete Betriebssystemprozesse auf dem Gerät

Diese Signale sind Verhaltenssuchspuren und keine spezifischen Signaturen für Schwachstellen, da HPE die genaue Netzwerkanfrage oder Protokollsequenz, die zum Auslösen der Schwachstelle erforderlich ist, nicht veröffentlicht hat.

Organisationen sollten historische Protokolle von vor der Patch-Bereitstellung nach Möglichkeit aufbewahren und überprüfen. Durch das Update wird die bekannte Schwachstelle geschlossen, aber es kann nicht festgestellt werden, ob ein exponierter Host vor der Installation des Patches kompromittiert wurde.

Administratoren sollten besonderes Augenmerk auf unerklärte privilegierte Aktivitäten auf Systemen legen, deren SSH-Dienste von nicht vertrauenswürdigen Netzwerken aus erreichbar waren. Da eine erfolgreiche Ausnutzung administrativen Zugriff und privilegierte Befehlsausführung ermöglichen kann, sollte verdächtige Aktivität eine Untersuchung des gesamten Fabric Composer-Hosts anstoßen, nicht nur des SSH-Dienstes.

Bei Verdacht auf eine Kompromittierung sollten Sicherheitsteams Administratorenkonten, Authentifizierungsprotokolle, Konfigurationshistorie, Netzwerkverwaltungsänderungen, Systemprozesse, Persistenzmechanismen und von der Appliance zugängliche Anmeldedaten untersuchen. Verwaltungs-Switches und andere Infrastruktur, die über das System gesteuert wird, sollten ebenfalls auf unberechtigte Konfigurationsänderungen überprüft werden.

Die breitere CVE-2026-76658-Abmilderungsstrategie sollte schnelles Patchen mit strikter Segmentierung der Management-Schnittstellen, firewallbasierten Zugangsbeschränkungen, zentralisierter Protokollierung, administrativer Buchführung und regelmäßiger Überprüfung des privilegierten Zugriffs kombinieren.

HPE empfiehlt ausdrücklich, die Befehlszeilen- und webbasierte Management-Schnittstellen auf dedizierte Management-Netzwerke zu beschränken und Protokollierungs- und Buchführungskontrollen zu verwenden, um den Zugang und die Benutzeraktivität nachzuverfolgen. Diese Maßnahmen ersetzen keine Patches, können jedoch die Exposition gegenüber zukünftigen Schwachstellen, die administrative Schnittstellen betreffen, erheblich reduzieren.

Aufgrund der maximalen CVSS-Bewertung und des Fehlens von Authentifizierungsanforderungen sollten anfällige Systeme nicht durch nicht vertrauenswürdige Netzwerke erreichbar bleiben, während Organisationen auf ihre normale Wartungsrunde warten.