HPEのArubaOS-CXに認証不要のRCEなど34件のCVE — CVSS 9.8のCVE-2026-73749を含む修正版を公開、実悪用は未確認

Hewlett Packard Enterprise（HPE）は、企業向けスイッチOSであるAruba Networking ArubaOS-CX（AOS-CX）の34件のCVEに対応する修正版を公開した。中心となるのは20件超の欠陥を束ねた**CVE-2026-73749（CVSS基本値9.8、Critical）**で、未認証の遠隔攻撃者が細工したパケットを送ることで管理者権限相当のコード実行に至る恐れがある。修正版は5つの系列で提供されており、実環境での悪用は確認されていないと同社は説明している。

脆弱性の内容 — 未認証の攻撃者が細工パケットでRCE

米NVDの記載とHPEのアドバイザリによると、CVE-2026-73749の要点は次のとおりだ。

• 内容: AOS-CX内のデーモン（常駐サービス）が不正な入力を不適切に処理する欠陥。20件超の問題を1件のCVEに束ねている
• 攻撃条件: 未認証の遠隔攻撃者が、対象サービス宛てに特別に細工したパケットを送信することで悪用できる。特権も利用者操作も不要だ
• 影響: 管理者権限相当でのリモートコード実行（RCE）に至る恐れがある
• 深刻度: CVSS v3.1で9.8（Critical）。機密性・完全性・可用性のいずれにも高い影響が出ると評価されている
• NVD公開日: 2026年9月1日

今回の更新全体では34件のCVEに対応し、150件超の欠陥を解消する。内訳は、残る高深刻度が22件（サービス拒否、RCE、任意コマンド実行、ブラウザ上でのスクリプト実行、認証回避、権限昇格、情報漏えいなど）、中深刻度が11件（アクセス制御の回避、情報漏えい、任意ファイル読み取り、サービス拒否、権限昇格など）だ。HPEによると、脆弱性の大半は同社のセキュリティチームが内部で発見したもので、実環境での悪用は確認されていない。修正済みであることが明示されている点は利用者にとって安心材料だ。

対象と修正版 — 5系列で提供、管理画面の隔離も要請

修正版は次の5系列で提供されている。

• 10.18.1002、10.17.1030、10.16.1060、10.13.1190、10.10.1181

AOS-CXはHPEの企業向けスイッチを動かすデータベース中心のOSで、国内でも企業の拠点・データセンター網で使われている。該当系列を利用する組織は、稼働版が修正済みかを確認する必要がある。

HPEはあわせて、攻撃成立の可能性を下げる運用面の対策も呼びかけている。内容は、CLIとWebベースの管理インターフェースを専用のレイヤー2セグメント／VLANに隔離するか、レイヤー3以上でファイアウォールポリシーにより制御し、操作の追跡・記録のためのアカウンティング制御を併用することだ。管理画面を不特定のネットワークから到達可能にしないことが、今回のような未認証RCEへの露出を減らす基本になる。

実悪用が確認されていない現時点では、修正版への計画的な更新と管理面の公開範囲の点検が求められる。HPEのアドバイザリはボット保護のため直接の全文確認が制限される場合があるが、CVEの内容はNVDで裏付けが取れている。更新の要否は必ず自組織の稼働バージョンと照合して判断してほしい。

出典

• HPE Security Bulletin hpesbnw05134en_us（AOS-CX に関するアドバイザリ）: https://support.hpe.com/hpesc/public/docDisplay?docId=hpesbnw05134en_us&docLocale=en_US
• NVD, CVE-2026-73749（2026年9月1日公開）: https://nvd.nist.gov/vuln/detail/CVE-2026-73749