[Actualización 28/10/2026] Múltiples vulnerabilidades en productos de HPE
- HPE Networking Wireless Operating Systems
- Mobility Conductors, Mobility Controllers, Mobility Gateways y puntos de acceso con:
- AOS-10.8: 10.8.1.1 y anteriores de la rama.
- AOS-10.7: 10.7.2.6 y anteriores de la rama.
- AOS-10.4: 10.4.1.13 y anteriores de la rama.
- AOS-8.13: 8.13.3.0 y anteriores de la rama.
- AOS-8.10: 8.10.0.23 y anteriores de la rama.
- Mobility Conductors, Mobility Controllers, Mobility Gateways y puntos de acceso con:
- Productos que incorporan PHP vulnerable
- ClearPass Policy Manager: 6.14.1 y anteriores y 6.11.16 y anteriores, sin los parches específicos de PHP. Las versiones fuera de soporte deben considerarse potencialmente afectadas.
- HPE Data Management Framework 7: DMF_Suite_4.10-rhel810.
[Actualización 28/10/2026]
HPE revisa la relación de productos potencialmente afectados por PHP2Shell e identifica:
- System Management Homepage (SMH), fuera de soporte.
- Cray ClusterStor E1000, E2000 y C500: software 6.x y 7.x.
- Assessment Foundry: Server_v2.0.2.
- HP-UX OSP: 11.31.
- NonStop NS-T1203-SCRIPTING LANGUAGES: T1203L01-AAO.
El equipo de investigación interna de HPE Networking y diversos investigadores, entre ellos moonv, zzcentury y m0omo0d, han informado sobre 74 vulnerabilidades: 35 de severidad crítica, 31 altas, 7 medias y 1 baja en AOS-8 y AOS-10 que podrían permitir ejecutar código, eludir la autenticación, acceder a información sensible o provocar una denegación de servicio.
HPE también ha publicado información sobre dos vulnerabilidades críticas de PHP que afectan a ClearPass Policy Manager y otros productos.
Actualizar AOS a la versión corregida de su rama o una posterior:
- AOS-10.8: 10.8.1.2.
- AOS-10.7: 10.7.2.7.
- AOS-10.4: 10.4.1.14.
- AOS-8.13: 8.13.3.1.
- AOS-8.10: 8.10.0.24.
Para ClearPass, instalar el Hotfix Patch to Address PHP Vulnerabilities CVE-2026-109618 and CVE-2026-109619 correspondiente a 6.14.1 o 6.11.16. Actualizar únicamente a esas versiones base no corrige completamente las vulnerabilidades.
Las actualizaciones están disponibles en el portal de soporte de HPE Networking.
[Actualización 28/10/2026]
Para ClusterStor 6.x, seguir php7_for6.x_install.pdf; para 7.x, php8_for7.x_install.pdf. Ambos procedimientos están disponibles en la guía de HPE e incluyen actualizar los paquetes PHP, reiniciar los servicios afectados y verificar la corrección.
El boletín no ofrece versiones corregidas para SMH, Data Management Framework 7, Assessment Foundry, HP-UX OSP o NonStop; consultar con HPE.
Mientras se aplican las correcciones, restringir las interfaces de administración a una VLAN dedicada y mediante políticas de cortafuegos. En ClearPass, limitar también la exposición pública de los portales de invitados.
Las vulnerabilidades críticas son:
- CVE-2026-79844 y CVE-2026-79850: omisiones de autenticación en AOS-10 y AOS-8, respectivamente, que permiten ejecutar comandos remotamente. La primera requiere condiciones previas ajenas al control del atacante; la segunda puede proporcionar permisos de root.
- CVE-2026-79845: según HPE, una omisión de autenticación en PAPI de AOS-10 permite obtener acceso administrativo y modificar configuraciones y datos sensibles.
- CVE-2026-79846, CVE-2026-79857 y CVE-2026-79861: inyecciones de comandos sin autenticación. Las dos primeras afectan a AOS-8 y la tercera a AOS-10. La primera requiere condiciones previas; las otras son accesibles mediante PAPI.
- CVE-2026-79847, CVE-2026-79851, CVE-2026-79859, CVE-2026-79860 y CVE-2026-79872: desbordamientos de búfer que permiten ejecutar código remotamente sin autenticación y con permisos elevados.
- CVE-2026-79848, CVE-2026-79849, CVE-2026-79852 y CVE-2026-79854: inyecciones SQL que permiten ejecutar comandos en el sistema operativo sin autenticación.
- CVE-2026-79853: divulgación de información en AOS-10 que puede facilitar la ejecución remota de comandos.
- CVE-2026-79855: omisión de autenticación en SSH de AOS-8 que permite obtener privilegios administrativos.
- CVE-2026-79856: desbordamiento de búfer en PAPI de AOS-8 que permite eludir la autenticación y modificar configuraciones o datos.
- CVE-2026-79858: inyección SQL en PAPI de AOS-8 que permite consultar o modificar información e interrumpir el servicio.
- CVE-2026-79862, CVE-2026-79863 y CVE-2026-79865: desbordamientos de búfer o corrupción de memoria que permiten ejecutar código desde una red adyacente sin autenticación.
- CVE-2026-79864: inyección de comandos en AOS-10 que permite ejecutar comandos con permisos elevados desde una red adyacente.
- CVE-2026-79866: recorrido de directorios en PAPI de AOS-8 que permite leer, modificar o eliminar archivos desde una red adyacente.
- CVE-2026-79867 y CVE-2026-79869: omisiones de autenticación en AOS-8 y AOS-10, respectivamente, que permiten ejecutar comandos desde una red adyacente.
- CVE-2026-79868, CVE-2026-79870, CVE-2026-79873, CVE-2026-79874 y CVE-2026-79875: omisiones de autenticación que permiten obtener acceso administrativo y manipular configuraciones o datos desde una red adyacente.
- CVE-2026-79871: divulgación de información sensible en la interfaz de línea de comandos de AOS-10, accesible remotamente sin autenticación.
- CVE-2026-79876: divulgación de información durante el procesamiento de tramas Wi-Fi de AOS-10, que puede facilitar accesos adicionales o interrumpir el servicio.
- CVE-2026-109618: el tratamiento incorrecto del agotamiento de memoria en PHP puede dejar datos sin inicializar y permitir la ejecución remota de código.
- CVE-2026-109619: la persistencia de referencias globales a memoria liberada en PHP puede permitir ejecutar código mediante peticiones posteriores.
| Identificador CVE | Severidad | Explotación | Fabricante |
|---|---|---|---|
| CVE-2026-79844 | Crítica | No | HPE |
| CVE-2026-79845 | Crítica | No | HPE |
| CVE-2026-79846 | Crítica | No | HPE |
| CVE-2026-79847 | Crítica | No | HPE |
| CVE-2026-79848 | Crítica | No | HPE |
| CVE-2026-79849 | Crítica | No | HPE |
| CVE-2026-79850 | Crítica | No | HPE |
| CVE-2026-79851 | Crítica | No | HPE |
| CVE-2026-79852 | Crítica | No | HPE |
| CVE-2026-79853 | Crítica | No | HPE |
| CVE-2026-79854 | Crítica | No | HPE |
| CVE-2026-79855 | Crítica | No | HPE |
| CVE-2026-79856 | Crítica | No | HPE |
| CVE-2026-79857 | Crítica | No | HPE |
| CVE-2026-79858 | Crítica | No | HPE |
| CVE-2026-79859 | Crítica | No | HPE |
| CVE-2026-79860 | Crítica | No | HPE |
| CVE-2026-79861 | Crítica | No | HPE |
| CVE-2026-79862 | Crítica | No | HPE |
| CVE-2026-79863 | Crítica | No | HPE |
| CVE-2026-79864 | Crítica | No | HPE |
| CVE-2026-79865 | Crítica | No | HPE |
| CVE-2026-79866 | Crítica | No | HPE |
| CVE-2026-79867 | Crítica | No | HPE |
| CVE-2026-79868 | Crítica | No | HPE |
| CVE-2026-79869 | Crítica | No | HPE |
| CVE-2026-79870 | Crítica | No | HPE |
| CVE-2026-79871 | Crítica | No | HPE |
| CVE-2026-79872 | Crítica | No | HPE |
| CVE-2026-79873 | Crítica | No | HPE |
| CVE-2026-79874 | Crítica | No | HPE |
| CVE-2026-79875 | Crítica | No | HPE |
| CVE-2026-79876 | Crítica | No | HPE |
| CVE-2026-109618 | Crítica | No | HPE |
| CVE-2026-109619 | Crítica | No | HPE |
