Mit den neuen AOS-CX-Versionen liefert HPE ein außergewöhnlich umfangreiches Update-Paket aus. Formal sind 34 CVEs abgedeckt, tatsächlich stecken dahinter mehr als 150 behobene Fehler, da der Hersteller zahlreiche Einzelprobleme unter einer gemeinsamen Kennung bündelt.
Im Zentrum steht CVE-2026-73749 mit einem CVSS-Score von 9.8. Unter dieser einen Nummer fasst HPE fast zwei Dutzend kritische Schwachstellen zusammen. Sie beruhen alle auf demselben Muster: Ein Dienst innerhalb des datenbankzentrierten Switch-Betriebssystems verarbeitet fehlgeformte Eingaben nicht korrekt. Welcher Dienst betroffen ist, nennt HPE nicht.
Die Angriffsvoraussetzungen sind gering. Laut HPE genügt es, präparierte Pakete an den anfälligen Dienst zu senden — eine Authentifizierung ist nicht erforderlich. Erfolgreiche Angreifer erhalten die Möglichkeit, Code mit erhöhten Rechten auszuführen.
Neben den kritischen Problemen behebt das Update 22 CVEs mit hohem Schweregrad. Die möglichen Folgen reichen von Denial-of-Service über Remote-Code-Ausführung, das Ausführen beliebiger Befehle und beliebigen Skriptcodes im Browser eines Opfers bis zu Umgehung der Authentifizierung, Rechteausweitung und der Offenlegung von Informationen.
Die verbleibenden elf CVEs sind mittlerer Schwere. Sie erlauben laut Advisory das Umgehen von Zugriffskontrollen, das Auslesen beliebiger Dateien, Denial-of-Service, Rechteausweitung sowie den Abfluss von Informationen.
Die betroffenen Fassungen wurden in den Zweigen 10.18.1002, 10.17.1030, 10.16.1060, 10.13.1190 und 10.10.1181 korrigiert. HPE betont, dass der überwiegende Teil der Schwachstellen vom eigenen Sicherheitsteam intern gefunden wurde. Angriffe in der Praxis sind dem Unternehmen bislang nicht bekannt.
Zusätzlich zum Einspielen der Updates empfiehlt HPE Networking eine Härtung der Verwaltungszugänge: „Um die Wahrscheinlichkeit zu verringern, dass ein Angreifer diese Schwachstellen ausnutzt, empfiehlt HPE Networking, die Kommandozeilen- und die webbasierten Verwaltungsschnittstellen auf ein dediziertes Layer-2-Segment beziehungsweise VLAN zu beschränken und/oder über Firewall-Richtlinien auf Layer 3 und darüber zu kontrollieren — zusammen mit Kontrollmechanismen zur Nachvollziehbarkeit, die Benutzeraktivitäten und Ressourcennutzung protokollieren.“
Damit bleibt die Absicherung des Management-Zugriffs die wirksamste ergänzende Maßnahme für Umgebungen, in denen die betroffenen Switches nicht sofort aktualisiert werden können.