Múltiples vulnerabilidades en productos de HPE

Fecha de publicación 26/10/2026

Identificador

INCIBE-2026-789

Importancia

5 - Crítica

Recursos Afectados

HPE Networking Wireless Operating Systems
- Mobility Conductors, Mobility Controllers, Mobility Gateways y puntos de acceso con:
  - AOS-10.8: 10.8.1.1 y anteriores de la rama.
  - AOS-10.7: 10.7.2.6 y anteriores de la rama.
  - AOS-10.4: 10.4.1.13 y anteriores de la rama.
  - AOS-8.13: 8.13.3.0 y anteriores de la rama.
  - AOS-8.10: 8.10.0.23 y anteriores de la rama.
Productos que incorporan PHP vulnerable
- ClearPass Policy Manager: 6.14.1 y anteriores y 6.11.16 y anteriores, sin los parches específicos de PHP. Las versiones fuera de soporte deben considerarse potencialmente afectadas.
- HPE Data Management Framework 7: DMF_Suite_4.10-rhel810.
- HPE Private Cloud AI: v1.11.0, 1.12.1 y 2026.07.01.
- Cray ClusterStor Data Services: 7.2 y 7.3.

Descripción

El equipo de investigación interna de HPE Networking y diversos investigadores, entre ellos moonv, zzcentury y m0omo0d, han informado sobre 74 vulnerabilidades: 35 de severidad crítica, 31 altas, 7 medias y 1 baja en AOS-8 y AOS-10 que podrían permitir ejecutar código, eludir la autenticación, acceder a información sensible o provocar una denegación de servicio.

HPE también ha publicado información sobre dos vulnerabilidades críticas de PHP que afectan a ClearPass Policy Manager y otros productos.

Solución

Actualizar AOS a la versión corregida de su rama o una posterior:

AOS-10.8: 10.8.1.2.
AOS-10.7: 10.7.2.7.
AOS-10.4: 10.4.1.14.
AOS-8.13: 8.13.3.1.
AOS-8.10: 8.10.0.24.

Para ClearPass, instalar el Hotfix Patch to Address PHP Vulnerabilities CVE-2026-109618 and CVE-2026-109619 correspondiente a 6.14.1 o 6.11.16. Actualizar únicamente a esas versiones base no corrige completamente las vulnerabilidades.

Las actualizaciones están disponibles en el portal de soporte de HPE Networking.

El boletín general no especifica versiones corregidas para Data Management Framework 7, Private Cloud AI o Cray ClusterStor Data Services. Consultar con el soporte de HPE.

Mientras se aplican las correcciones, restringir las interfaces de administración a una VLAN dedicada y mediante políticas de cortafuegos. En ClearPass, limitar también la exposición pública de los portales de invitados.

Detalle

Las vulnerabilidades críticas son:

CVE-2026-79844 y CVE-2026-79850: omisiones de autenticación en AOS-10 y AOS-8, respectivamente, que permiten ejecutar comandos remotamente. La primera requiere condiciones previas ajenas al control del atacante; la segunda puede proporcionar permisos de root.
CVE-2026-79845: según HPE, una omisión de autenticación en PAPI de AOS-10 permite obtener acceso administrativo y modificar configuraciones y datos sensibles.
CVE-2026-79846, CVE-2026-79857 y CVE-2026-79861: inyecciones de comandos sin autenticación. Las dos primeras afectan a AOS-8 y la tercera a AOS-10. La primera requiere condiciones previas; las otras son accesibles mediante PAPI.
CVE-2026-79847, CVE-2026-79851, CVE-2026-79859, CVE-2026-79860 y CVE-2026-79872: desbordamientos de búfer que permiten ejecutar código remotamente sin autenticación y con permisos elevados.
CVE-2026-79848, CVE-2026-79849, CVE-2026-79852 y CVE-2026-79854: inyecciones SQL que permiten ejecutar comandos en el sistema operativo sin autenticación.
CVE-2026-79853: divulgación de información en AOS-10 que puede facilitar la ejecución remota de comandos.
CVE-2026-79855: omisión de autenticación en SSH de AOS-8 que permite obtener privilegios administrativos.
CVE-2026-79856: desbordamiento de búfer en PAPI de AOS-8 que permite eludir la autenticación y modificar configuraciones o datos.
CVE-2026-79858: inyección SQL en PAPI de AOS-8 que permite consultar o modificar información e interrumpir el servicio.
CVE-2026-79862, CVE-2026-79863 y CVE-2026-79865: desbordamientos de búfer o corrupción de memoria que permiten ejecutar código desde una red adyacente sin autenticación.
CVE-2026-79864: inyección de comandos en AOS-10 que permite ejecutar comandos con permisos elevados desde una red adyacente.
CVE-2026-79866: recorrido de directorios en PAPI de AOS-8 que permite leer, modificar o eliminar archivos desde una red adyacente.
CVE-2026-79867 y CVE-2026-79869: omisiones de autenticación en AOS-8 y AOS-10, respectivamente, que permiten ejecutar comandos desde una red adyacente.
CVE-2026-79868, CVE-2026-79870, CVE-2026-79873, CVE-2026-79874 y CVE-2026-79875: omisiones de autenticación que permiten obtener acceso administrativo y manipular configuraciones o datos desde una red adyacente.
CVE-2026-79871: divulgación de información sensible en la interfaz de línea de comandos de AOS-10, accesible remotamente sin autenticación.
CVE-2026-79876: divulgación de información durante el procesamiento de tramas Wi-Fi de AOS-10, que puede facilitar accesos adicionales o interrumpir el servicio.
CVE-2026-109618: el tratamiento incorrecto del agotamiento de memoria en PHP puede dejar datos sin inicializar y permitir la ejecución remota de código.
CVE-2026-109619: la persistencia de referencias globales a memoria liberada en PHP puede permitir ejecutar código mediante peticiones posteriores.

CVE

Identificador CVE	Severidad	Explotación	Fabricante
CVE-2026-79844	Crítica	No	HPE
CVE-2026-79845	Crítica	No	HPE
CVE-2026-79846	Crítica	No	HPE
CVE-2026-79847	Crítica	No	HPE
CVE-2026-79848	Crítica	No	HPE
CVE-2026-79849	Crítica	No	HPE
CVE-2026-79850	Crítica	No	HPE
CVE-2026-79851	Crítica	No	HPE
CVE-2026-79852	Crítica	No	HPE
CVE-2026-79853	Crítica	No	HPE
CVE-2026-79854	Crítica	No	HPE
CVE-2026-79855	Crítica	No	HPE
CVE-2026-79856	Crítica	No	HPE
CVE-2026-79857	Crítica	No	HPE
CVE-2026-79858	Crítica	No	HPE
CVE-2026-79859	Crítica	No	HPE
CVE-2026-79860	Crítica	No	HPE
CVE-2026-79861	Crítica	No	HPE
CVE-2026-79862	Crítica	No	HPE
CVE-2026-79863	Crítica	No	HPE
CVE-2026-79864	Crítica	No	HPE
CVE-2026-79865	Crítica	No	HPE
CVE-2026-79866	Crítica	No	HPE
CVE-2026-79867	Crítica	No	HPE
CVE-2026-79868	Crítica	No	HPE
CVE-2026-79869	Crítica	No	HPE
CVE-2026-79870	Crítica	No	HPE
CVE-2026-79871	Crítica	No	HPE
CVE-2026-79872	Crítica	No	HPE
CVE-2026-79873	Crítica	No	HPE
CVE-2026-79874	Crítica	No	HPE
CVE-2026-79875	Crítica	No	HPE
CVE-2026-79876	Crítica	No	HPE