Facebook Instagram Linkedin X-twitter
C/Santa Bárbara, 20, Bajo. Yecla, Murcia (30510)

Vulnerabilidades y Avisos de Seguridad: Múltiples vulnerabilidades en productos de HPE

In Noticias y Avisos CiberseguridadPosted

Resumen de la alerta

HPE ha publicado correcciones para un conjunto amplio de vulnerabilidades en HPE Networking Wireless Operating Systems, concretamente en las ramas AOS-8 y AOS-10 utilizadas por Mobility Conductors, Mobility Controllers, Mobility Gateways y puntos de acceso.

El aviso recoge 74 vulnerabilidades: 35 críticas, 31 altas, 7 medias y 1 baja. Las vulnerabilidades críticas pueden permitir, según el caso, ejecución remota de comandos o código, omisión de autenticación, acceso a información sensible, modificación de configuraciones y denegación de servicio.

Además, HPE ha informado de dos vulnerabilidades críticas en PHP, identificadas como CVE-2026-109618 y CVE-2026-109619, que afectan a ClearPass Policy Manager y a otros productos de HPE que incorporan componentes PHP vulnerables.

Para los CVE de AOS incluidos en el aviso, el estado de explotación indicado es No. Por tanto, la información disponible no confirma explotación activa ni ataques conocidos que aprovechen estas vulnerabilidades. No obstante, por el impacto potencial de varias de ellas, especialmente aquellas que no requieren autenticación, se recomienda priorizar la actualización de los equipos expuestos o accesibles desde redes no confiables.

Recursos afectados

Los siguientes productos y versiones están afectados según la información publicada:

  • HPE Networking Wireless Operating Systems en Mobility Conductors, Mobility Controllers, Mobility Gateways y puntos de acceso:
    • AOS-10.8: 10.8.1.1 y versiones anteriores de la rama.
    • AOS-10.7: 10.7.2.6 y versiones anteriores de la rama.
    • AOS-10.4: 10.4.1.13 y versiones anteriores de la rama.
    • AOS-8.13: 8.13.3.0 y versiones anteriores de la rama.
    • AOS-8.10: 8.10.0.23 y versiones anteriores de la rama.
  • ClearPass Policy Manager: versiones 6.14.1 y anteriores, así como 6.11.16 y anteriores, cuando no cuentan con los parches específicos de PHP. Las versiones fuera de soporte deben considerarse potencialmente afectadas.
  • HPE Data Management Framework 7: DMF_Suite_4.10-rhel810.
  • HPE Private Cloud AI: v1.11.0, 1.12.1 y 2026.07.01.
  • Cray ClusterStor Data Services: versiones 7.2 y 7.3.

Descripción de las vulnerabilidades

La mayor parte de los problemas críticos se concentra en AOS-8 y AOS-10. El conjunto incluye omisiones de autenticación, inyecciones de comandos, inyecciones SQL, desbordamientos de búfer, corrupción de memoria, divulgación de información y recorrido de directorios.

Una omisión de autenticación puede permitir que un atacante acceda a funciones o servicios que deberían estar protegidos. En este caso, algunas vulnerabilidades podrían proporcionar acceso administrativo, ejecutar comandos o modificar configuraciones y datos sin disponer de credenciales válidas.

Las inyecciones de comandos y SQL pueden permitir la ejecución de instrucciones no previstas por el sistema. Los desbordamientos de búfer y fallos de corrupción de memoria pueden derivar en ejecución remota de código cuando se explotan con éxito. Por su parte, las vulnerabilidades de divulgación de información pueden exponer datos útiles para facilitar acciones posteriores.

Entre las vulnerabilidades críticas descritas para AOS se encuentran las siguientes:

  • CVE-2026-79844 y CVE-2026-79850: omisiones de autenticación en AOS-10 y AOS-8, respectivamente, que pueden permitir ejecutar comandos remotamente. CVE-2026-79844 requiere condiciones previas fuera del control del atacante, mientras que CVE-2026-79850 puede proporcionar permisos de root.
  • CVE-2026-79845: omisión de autenticación en PAPI de AOS-10 que puede conceder acceso administrativo y permitir la modificación de configuraciones y datos sensibles.
  • CVE-2026-79846, CVE-2026-79857 y CVE-2026-79861: inyecciones de comandos sin autenticación. Las dos primeras afectan a AOS-8 y la tercera a AOS-10. CVE-2026-79846 requiere condiciones previas, mientras que CVE-2026-79857 y CVE-2026-79861 son accesibles mediante PAPI.
  • CVE-2026-79847, CVE-2026-79851, CVE-2026-79859, CVE-2026-79860 y CVE-2026-79872: desbordamientos de búfer que pueden permitir ejecución remota de código sin autenticación y con permisos elevados.
  • CVE-2026-79848, CVE-2026-79849, CVE-2026-79852 y CVE-2026-79854: inyecciones SQL que pueden permitir ejecutar comandos en el sistema operativo sin autenticación.
  • CVE-2026-79853: divulgación de información en AOS-10 que podría facilitar la ejecución remota de comandos.
  • CVE-2026-79855: omisión de autenticación en SSH de AOS-8 que puede permitir obtener privilegios administrativos.
  • CVE-2026-79856: desbordamiento de búfer en PAPI de AOS-8 que puede permitir eludir la autenticación y modificar configuraciones o datos.
  • CVE-2026-79858: inyección SQL en PAPI de AOS-8 que puede permitir consultar o modificar información e interrumpir el servicio.
  • CVE-2026-79862, CVE-2026-79863 y CVE-2026-79865: desbordamientos de búfer o corrupción de memoria que pueden permitir ejecutar código desde una red adyacente sin autenticación.
  • CVE-2026-79864: inyección de comandos en AOS-10 que puede permitir ejecutar comandos con permisos elevados desde una red adyacente.
  • CVE-2026-79866: recorrido de directorios en PAPI de AOS-8 que puede permitir leer, modificar o eliminar archivos desde una red adyacente.
  • CVE-2026-79867 y CVE-2026-79869: omisiones de autenticación en AOS-8 y AOS-10, respectivamente, que pueden permitir ejecutar comandos desde una red adyacente.
  • CVE-2026-79868, CVE-2026-79870, CVE-2026-79873, CVE-2026-79874 y CVE-2026-79875: omisiones de autenticación que pueden proporcionar acceso administrativo y permitir manipular configuraciones o datos desde una red adyacente.
  • CVE-2026-79871: divulgación de información sensible en la interfaz de línea de comandos de AOS-10, accesible remotamente sin autenticación.
  • CVE-2026-79876: divulgación de información durante el procesamiento de tramas Wi-Fi de AOS-10, que puede facilitar accesos adicionales o provocar una interrupción del servicio.

Las vulnerabilidades de PHP afectan a componentes incluidos en determinados productos de HPE:

  • CVE-2026-109618: un tratamiento incorrecto del agotamiento de memoria en PHP puede dejar datos sin inicializar y permitir ejecución remota de código.
  • CVE-2026-109619: la persistencia de referencias globales a memoria liber

    Fuente: link

    Aviso: Esta noticia / aviso es únicamente informativa y su veracidad está supeditada a la fuente origen.

    TechConsulting muestra este contenido por creer en su fuente y como servicio para facilitar a usuarios y empresas la obtención de dicho contenido. Agradecemos a la fuente el esfuerzo por distribuir este tipo de noticias y avisos sobre Ciberseguridad.

    Para más información o dudas en Ciberseguridad aplicada a la empresa, puede ver nuestro catálogo de productos en Servicios TechConsulting o puede contactar con nosotros para resolver cualquier cuestión que pueda tener.