CVE-2026-76658: Grave Vulnerabilità di HPE Fabric Composer Consente l’Esecuzione Remota di Codice Senza Autenticazione

HPE ha rilasciato aggiornamenti di sicurezza che affrontano una vulnerabilità di esecuzione di codice remoto di massima gravità che interessa la sua piattaforma di gestione dei tessuti di rete. Tracciata come CVE-2026-76658 e valutata 10.0 sulla scala CVSS v3.1, la falla può consentire a un attaccante remoto non autenticato di ottenere l’accesso amministrativo ed eseguire comandi arbitrari come un utente del sistema operativo privilegiato.

La vulnerabilità risiede nel demone SSH utilizzato da HPE Networking Fabric Composer, una piattaforma progettata per gestire e automatizzare i tessuti di rete del data center. Un exploit riuscito può portare al completo compromesso del host di gestione interessato, creando un rischio potenzialmente grave perché l’apparecchio può avere visibilità privilegiata e controllo sull’infrastruttura di rete.

La CVE-2026-76658 è una delle decine di questioni di sicurezza affrontate dal bollettino HPE HPESBNW05133. Un’altra falla nella stessa release, CVE-2026-76657, porta anch’essa un punteggio CVSS di 10.0 e può consentire a attaccanti non autenticati di bypassare l’autenticazione API e ottenere privilegi amministrativi.

Al momento della pubblicazione, HPE ha dichiarato di non essere a conoscenza di codici exploit pubblici o discussioni pubbliche che puntano alle vulnerabilità appena risolte. Ciononostante, la combinazione di accesso remoto alla rete, bassa complessità dell’attacco, nessun requisito di autenticazione, e totale impatto su riservatezza, integrità e disponibilità rende la CVE-2026-76658 una priorità urgente per la mitigazione.

Analisi della CVE-2026-76658

La falla interessa specificamente il demone SSH del prodotto. Secondo la descrizione della CVE di HPE, un attaccante può interagire da remoto con un host Fabric Composer vulnerabile senza prima autenticarsi e ottenere accesso amministrativo. Lo sfruttamento riuscito consente quindi l’esecuzione di comandi arbitrari come utente privilegiato sul sistema operativo sottostante, potenzialmente conducendo al compromesso completo del sistema.

I dettagli più importanti per CVE-2026-76658 sono riflessi nel suo vettore CVSS: AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. Ciò significa che lo sfruttamento è accessibile dalla rete, ha bassa complessità dell’attacco, non richiede privilegi esistenti né interazione della vittima, e può comportare un elevato impatto su riservatezza, integrità e disponibilità. L’ambito è anche segnato come modificato, indicando che uno sfruttamento riuscito può influire su risorse di sicurezza oltre il componente SSH vulnerabile stesso.

CVE-2026-76658 riguarda le versioni di Fabric Composer dalla 7.0.0 fino alla 7.3.3. Il bollettino di sicurezza di HPE raccomanda di aggiornare i sistemi che rimangono sul branch 7.3 alla versione 7.3.4 o successiva, mentre le organizzazioni che passano al branch più recente dovrebbero utilizzare la 7.4.0 o successiva.

La posizione della vulnerabilità in un servizio SSH è particolarmente importante da una prospettiva difensiva. Le interfacce di gestione SSH sono comunemente vie amministrative fidate e un compromesso a questo livello potrebbe fornire a un attaccante controllo diretto sull’apparecchio di gestione piuttosto che solo l’accesso a una funzione individuale dell’applicazione web.

A differenza delle vulnerabilità che richiedono credenziali amministrative valide o un accesso preesistente, questo problema può potenzialmente essere attivato da un attore esterno che può raggiungere il servizio SSH vulnerabile. Gli amministratori dovrebbero quindi prestare particolare attenzione a se l’interfaccia di gestione è raggiungibile da reti degli utenti, infrastruttura esterna o altri segmenti non fidati.

HPE non ha documentato pubblicamente il preciso pacchetto malformato, la sequenza di autenticazione, il bug di implementazione, o lo stato del protocollo richiesto per sfruttare il problema. Sarebbe quindi inesatto caratterizzare la falla come un particolare overflow del buffer, credenziali hardcoded, iniezione di comandi, o debolezza crittografica basandosi solo sulle informazioni attualmente disponibili.

Quello che è confermato è il risultato del fallimento del confine di sicurezza: un attore remoto non autenticato può ottenere accesso amministrativo ed eseguire comandi con privilegi del sistema operativo. Se sfruttata, un attaccante potrebbe potenzialmente alterare la configurazione del Fabric Composer, accedere a informazioni memorizzate sull’host di gestione, interferire con le funzioni di gestione, stabilire persistenza o sfruttare il sistema come punto di appoggio per ulteriori attività contro infrastrutture raggiungibili. Cyber Security News nota specificamente che il compromesso dell’apparecchio può permettere agli attaccanti di cambiare configurazioni, rubare informazioni, o spostarsi ulteriormente nell’ambiente dell’organizzazione.

Il bollettino più ampio HPESBNW05133 aumenta il rischio perché contiene numerose debolezze attraverso l’API, l’interfaccia di gestione web, i componenti di installazione e il sistema operativo sottostante. Le categorie di vulnerabilità riportate includono bypass dell’autenticazione, esecuzione di codice remoto, cross-site scripting, scrittura di file arbitrari, iniezione SQL, attraversamento path, escalation dei privilegi, divulgazione di informazioni, iniezione di comandi e servizio negato.

Alcuni di questi problemi possono anche essere utili in attacchi concatenati. Ad esempio, CVE-2026-76657 consente indipendentemente agli attaccanti remoti non autenticati di bypassare l’autenticazione API e ottenere accesso amministrativo, mentre CVE-2026-19766 può fornire esecuzione di codice privilegiato da una rete adiacente nelle sue condizioni richieste.

Il record pubblico CVE è stato pubblicato il 1 settembre 2026. La data esatta della scoperta originale per CVE-2026-76658 non è stata divulgata. I metadati CNA registrano il problema come scoperto esternamente e non identificano il contributore per nome, mentre nei rapporti attorno al bollettino HPE più ampio si nota che anche altre vulnerabilità sono state scoperte attraverso la ricerca di sicurezza di HPE.

Al 2 settembre, non era noto un PoC pubblico per CVE-2026-76658 e HPE non aveva riportato sfruttamenti attivi. La vulnerabilità inoltre non era elencata nel catalogo delle Vulnerabilità Note dei CISA a quel tempo.

L’assenza di codice exploit pubblico non dovrebbe essere interpretata come a basso rischio. Una vulnerabilità CVSS 10.0 raggiungibile dalla rete in un servizio SSH amministrativo può diventare sostanzialmente più pericolosa una volta che i ricercatori o gli attori della minaccia determinano la tecnica di sfruttamento precisa, in particolare quando gli apparecchi vulnerabili sono raggiungibili da segmenti di rete meno fidati.

Attualmente non ci sono IOC CVE-2026-76658 pubblicati dal venditore associati a campagne di sfruttamento. I difensori devono quindi concentrarsi principalmente sull’esposizione della versione, attività SSH inaspettate, comportamento amministrativo e modifiche effettuate sull’apparecchio di gestione piuttosto che fare affidamento su hash, domini o indirizzi IP di attacco noti.

Contatta le vendite

Mitigazione della CVE-2026-76658

Le organizzazioni dovrebbero aggiornare immediatamente le installazioni di Fabric Composer affette. HPE raccomanda le seguenti versioni corrette:

• Fabric Composer 7.3.4 o successiva per le organizzazioni che rimangono sul branch 7.3
• Fabric Composer 7.4.0 o successiva per le implementazioni che utilizzano il branch 7.4

Le versioni più vecchie che hanno raggiunto la Fine della Manutenzione dovrebbero essere considerate potenzialmente vulnerabili a meno che HPE non affermi esplicitamente il contrario. Le versioni non più supportate non sono state necessariamente valutate e non dovrebbero essere considerate sicure semplicemente perché assenti dalla tabella delle versioni supportate.

Il rilevamento della CVE-2026-76658 dovrebbe iniziare identificando ogni apparecchio Fabric Composer, confermandone l’esatta versione in esecuzione e determinando da dove la sua interfaccia di gestione SSH è raggiungibile. Qualsiasi installazione che esegue la versione 7.3.3 o precedente dovrebbe essere prioritaria per la mitigazione.

Le organizzazioni dovrebbero anche verificare se le interfacce di gestione SSH e web sono isolate da reti general-purpose e non fidate. HPE raccomanda di posizionare le interfacce di gestione su un segmento Layer 2 o VLAN dedicato e di applicare controlli firewall di Layer 3 per limitare quali sistemi possono raggiungerle.

Per rilevare tentativi di sfruttamento della CVE-2026-76658 o attività sospette post-compromesso, i team di sicurezza dovrebbero esaminare la telemetria di apparecchi, autenticazione, rete e gestione per:

• Connessioni SSH inaspettate da sistemi o segmenti di rete sconosciuti
• Sessioni amministrative senza una corrispondente attività di manutenzione autorizzata
• Nuovi account amministrativi o modificati
• Comandi eseguiti al di fuori dei flussi di lavoro amministrativi previsti
• Modifiche inaspettate alla configurazione di Fabric Composer
• Nuove connessioni di rete in uscita provenienti dall’apparecchio di gestione
• Tentativi di disabilitare o modificare i controlli di registrazione e contabilità
• Accesso non spiegato all’infrastruttura di rete gestita
• Modifiche di configurazione immediatamente dopo attività SSH sospetta
• Meccanismi di persistenza o processi del sistema operativo inattesi sull’apparecchio

Questi segnali sono indizi di caccia comportamentale piuttosto che firme specifiche per la vulnerabilità perché HPE non ha pubblicato la richiesta di rete esatta o la sequenza del protocollo necessaria per attivare la falla.

Le organizzazioni dovrebbero conservare e rivedere i log storici di prima dell’implementazione della patch ove possibile. L’aggiornamento chiude la vulnerabilità nota ma non può determinare se un host esposto è stato compromesso prima che il fix fosse installato.

Gli amministratori dovrebbero prestare particolare attenzione a un’attività privilegiata non spiegata su sistemi i cui servizi SSH erano raggiungibili da reti non fidate. Poiché lo sfruttamento riuscito può fornire controllo amministrativo e esecuzione di comandi privilegiati, l’attività sospetta dovrebbe innescare un’indagine sull’intero host di Fabric Composer piuttosto che solo sul servizio SSH.

Se si sospetta un compromesso, i team di sicurezza dovrebbero esaminare gli account amministrativi, i record di autenticazione, la cronologia delle configurazioni, le modifiche alla gestione della rete, i processi di sistema, i meccanismi di persistenza e le credenziali accessibili dall’apparecchio. Anche gli switch gestiti e le altre infrastrutture controllate tramite il sistema dovrebbero essere esaminati per eventuali modifiche di configurazione non autorizzate.

La strategia di mitigazione più ampia per la CVE-2026-76658 dovrebbe combinare una rapida patch con una segmentazione rigida delle interfacce di gestione, restrizioni di accesso basate su firewall, registrazione centralizzata, contabilità amministrativa e revisione regolare degli accessi privilegiati.

HPE raccomanda specificamente di limitare le interfacce di gestione da riga di comando e web a reti di gestione dedicate e utilizzare controlli di registrazione e contabilità per tracciare accessi e attività utente. Queste misure non sostituiscono la patch, ma possono ridurre sostanzialmente l’esposizione a future vulnerabilità che interessano le interfacce amministrative.

Dato il punteggio CVSS massimo e la mancanza di requisiti di autenticazione, i sistemi vulnerabili non dovrebbero rimanere raggiungibili da reti non fidate mentre le organizzazioni attendono il loro normale ciclo di manutenzione.