El INCIBE-CERT ha publicado un aviso de alerta temprana por 46 vulnerabilidades en HPE Networking Fabric Composer, tres de ellas críticas y veinte de severidad alta.
EN 30 SEGUNDOS
- ¿Qué ha ocurrido? El INCIBE-CERT emite el aviso INCIBE-2026-830 por 46 fallos de seguridad en HPE Networking Fabric Composer, con tres de severidad crítica.
- ¿Dónde y cuándo? Publicado el miércoles 4 de noviembre de 2026, a las 09:25 horas, en el canal de alerta temprana del organismo.
- ¿Qué resultado? Tres fallos críticos, veinte altos, dieciocho medios y cinco bajos; afectadas las versiones 7.0.0 a 7.3.4 y la 7.4.0 del producto.
Tres fallos críticos que permiten el acceso administrativo sin autenticar
El expediente INCIBE-2026-830, fechado el miércoles 4 de noviembre de 2026 a las 09:25 horas, ordena la lista por severidad: tres fallos críticos, veinte altos, dieciocho medios y cinco bajos. En total, 46 vulnerabilidades documentadas en HPE Networking Fabric Composer, la plataforma de orquestación con la que se configura y se gobierna el tejido de red de un centro de datos. El aviso puede consultarse íntegro en el canal de alerta temprana del INCIBE-CERT.
Los tres CVE críticos comparten un patrón: la barrera de autenticación se puede rodear. CVE-2026-95731 documenta contraseñas incorporadas en la interfaz de línea de comandos que permiten a un atacante remoto sin autenticar obtener acceso administrativo al sistema. CVE-2026-95732 describe una evasión de autenticación en el sistema operativo subyacente que habilita la ejecución de código arbitrario desde una red adyacente, sin credenciales válidas de por medio.
El tercer fallo completa el cuadro: CVE-2026-95733 recoge el uso de credenciales incorporadas en un componente que, explotadas desde una red adyacente, permiten ejecutar código arbitrario sin autenticación. Los tres vectores apuntan al mismo punto débil, las interfaces de gestión del tejido de red, y el fabricante los acompaña de la referencia HPESBNW05172 rev.1 con el listado técnico completo. Ninguno de los tres figura como explotado en el momento de la publicación.
Actualización a las ramas 7.4.1 y 7.3.5 y cierre de las interfaces de administración
La corrección depende de la rama en uso. Quien opera la rama 7.4.x debe actualizar a la versión 7.4.1 o posterior; la rama 7.3.x requiere la 7.3.5 o superior. Quedan afectadas las versiones 7.0.0 a 7.3.4 y la 7.4.0, y el aviso advierte de que las ramas fuera de mantenimiento deben considerarse potencialmente vulnerables y migrarse a una rama soportada. Las actualizaciones están disponibles en el portal de soporte de HPE Networking.
Tres vulnerabilidades críticas permiten a un atacante sin autenticar ejecutar código arbitrario y alcanzar privilegios administrativos en el plano de control de la red.
El aviso acompaña la actualización con medidas de contención para el intervalo hasta el parcheo completo. Restringir las interfaces de administración web y de línea de comandos a una VLAN dedicada o mediante reglas de cortrafuegos, y registrar la actividad administrativa para detectar accesos anómalos. La recomendación no es menor: quien alcanza el plano de gestión de la plataforma no necesita explotar un servidor concreto, porque desde ahí se gobierna la configuración de toda la red.
La vigilancia de estos fallos no recae solo en el fabricante. La Policía Nacional y la Guardia Civil mantienen unidades especializadas en cibercrimen que investigan la explotación efectiva de vulnerabilidades conocidas, mientras el CCN-CERT, el equipo de respuesta del Centro Criptológico Nacional dependiente del CNI, coordina la comunicación de incidentes que afectan a administraciones públicas y operadores de infraestructuras críticas a través de su plataforma de avisos.
El panorama de la ciberseguridad
El vector elegido por los atacantes en los últimos años ha dejado de ser el servidor expuesto para desplazarse hacia los planos de gestión: hipervisores, controladores de red definida por software y consolas de orquestación. Un Fabric Composer comprometido equivale a entregar la llave del armario donde se guardan las reglas de segmentación, el enrutamiento entre VLAN y las políticas de acceso del centro de datos. La barrera real no es el número de CVE del expediente, sino el hecho de que las interfaces de administración queden alcanzables desde redes que no deberían verlas.
El número de expediente, INCIBE-2026-830, da la medida del ritmo de trabajo del servicio de alerta temprana: cientos de avisos tramitados en un mismo ejercicio, cada uno con su análisis de severidad, su vector de explotación y su recomendación de actualización. Ese trabajo previo es el que permite que un administrador de red español conozca el fallo el mismo día en que el fabricante publica el parche, en lugar de descubrirlo cuando ya hay un incidente abierto. En paralelo, el equipo de respuesta del CCN-CERT traslada estos avisos al ámbito de las infraestructuras críticas, donde la ventana de exposición de un equipo sin actualizar se mide en horas, no en semanas.
No existe un calendario público de nuevas revisiones del expediente. El aviso se actualizará si aparecen detalles técnicos adicionales, si se publica una prueba de concepto o si el fabricante revisa el listado de CVE. La recomendación operativa es doble y no admite espera: actualizar a la rama soportada y verificar después, nodo por nodo, que la actualización se ha aplicado en todas las instancias desplegadas, incluidas las de laboratorio y las de pruebas que muchos entornos mantienen conectadas. Un Fabric Composer olvidado en una versión antigua es, exactamente, la puerta que estos tres fallos críticos dejan abierta.
