Ciberseguridad · Aviso

HPE Networking Fabric Composer · Contraseñas incrustadas y acceso admin sin autenticación

HPE corrige 46 fallos en Fabric Composer, su software para orquestar la red del centro de datos. Tres son críticos y permiten tomar el control sin credenciales, aunque por ahora no se conocen ataques.

Publicado 4 noviembre 2026 Lectura 7 min Ref. CVE-2026-95731, CVE-2026-95732, CVE-2026-95733 CVSS 9.8 (HPE (CNA), registro CVE-2026-95731; NVD aún en «Awaiting Analysis»)

Resumen

El 3 de noviembre de 2026 HPE publicó el boletín HPESBNW05172, que corrige 46 vulnerabilidades en HPE Networking Fabric Composer: 3 críticas, 20 altas, 18 medias y 5 bajas. La más grave (CVE-2026-95731, CVSS 9,8 según HPE) se debe a contraseñas incrustadas en la consola de comandos y permite a un atacante remoto obtener acceso de administrador sin autenticarse. Las versiones afectadas son de la 7.0.0 a la 7.3.4 y la 7.4.0; las corregidas son la 7.3.5 y la 7.4.1. HPE dice no tener constancia de exploits públicos ni de ataques, y el fallo no figura en el catálogo KEV de CISA.

Materias: Vulnerabilidades, Infraestructura de red, Credenciales incrustadas, Gestión de parches, HPE

Hay programas que pocas personas ven pero que sostienen todo lo demás. HPE Networking Fabric Composer es uno de ellos: desde él se configuran y automatizan los conmutadores (switches) de la red de un centro de datos. HPE acaba de corregir 46 fallos en este producto. Tres son críticos, y el más grave se explica en una línea: la consola de comandos traía de fábrica una contraseña que no se podía cambiar y con la que se puede entrar como administrador. La buena noticia es que HPE afirma no conocer ataques ni código de explotación público.

Descripción

Qué es Fabric Composer

HPE Networking Fabric Composer (antes HPE Aruba Networking Fabric Composer, o AFC) es un software de orquestación de red. Es decir, una consola central que configura, automatiza y supervisa los conmutadores de un centro de datos. Quien controla esta consola puede, en la práctica, cambiar cómo circula el tráfico de red de toda la organización. Por eso su seguridad importa más que la de un equipo cualquiera.

Qué ha publicado HPE

El boletín HPESBNW05172 (rev. 1), del 3 de noviembre de 2026, recoge 46 vulnerabilidades: 3 críticas, 20 altas, 18 medias y 5 bajas. Según los registros CVE, las descubrió el propio equipo interno de investigación de seguridad de HPE Networking, no un tercero. INCIBE-CERT publicó el aviso INCIBE-2026-830 el 4 de noviembre, con importancia «crítica».

Las tres críticas son:

CVE-2026-95731 (CVSS 9,8; CWE-798, uso de credenciales incrustadas). La interfaz de línea de comandos (CLI, la consola de texto para administrar el equipo) contiene contraseñas fijadas en el código. Un atacante remoto sin autenticar puede obtener acceso administrativo.
CVE-2026-95732 (CVSS 9,6; CWE-287, autenticación incorrecta). Se trata de una evasión de autenticación en el sistema operativo subyacente que permite ejecutar código arbitrario. El atacante no necesita autenticarse, pero sí estar en una red adyacente.
CVE-2026-95733 (CVSS 9,6; CWE-798). Un componente usa credenciales por defecto incrustadas, lo que permite ejecutar código arbitrario. También exige que el atacante, sin autenticar, esté en una red adyacente.

El CVSS (Common Vulnerability Scoring System) es la escala estándar de gravedad, de 0 a 10. El CWE (Common Weakness Enumeration) es el catálogo que clasifica el tipo de error de programación. Las puntuaciones citadas las asigna HPE como CNA, la entidad autorizada para dar de alta los CVE de sus productos. El NVD (base de datos de vulnerabilidades del Gobierno estadounidense) todavía no ha hecho su propio análisis.

Según el resumen de la prensa especializada (Daily CyberSecurity), el resto del boletín incluye:

otras evasiones de autenticación que solo funcionan si se dan ciertas condiciones (CVE-2026-95738 y CVE-2026-95746);
la falta de límite de intentos de inicio de sesión (CVE-2026-95739);
una denegación de servicio por la API sin autenticación (CVE-2026-95745);
una inyección SQL desde red adyacente (CVE-2026-95748, CVSS 7,5);
nueve fallos de validación de certificados, siete de escalada de privilegios y dos de manipulación de registros de auditoría.

Siempre según esa fuente, 16 de los 46 fallos no requieren iniciar sesión.

Versiones afectadas

HPE Networking Fabric Composer 7.0.0 a 7.3.4.
HPE Networking Fabric Composer 7.4.0.
Las versiones sin soporte deben considerarse potencialmente afectadas. HPE no las evalúa ni las corrige.

Mecánica

Contraseñas «de fábrica» que no se pueden cambiar

Dos de los tres fallos críticos responden a un error clásico: las credenciales incrustadas (hard-coded credentials). Son un usuario y una contraseña escritos directamente en el código o en la imagen del producto. Son iguales en todas las instalaciones y el cliente no las puede cambiar. Funcionan como una llave maestra: quien la descubra, por ejemplo analizando una copia del software, puede usarla contra cualquier equipo con esa versión al que tenga acceso por red.

En CVE-2026-95731, el vector CVSS es AV:N/AC:L/PR:N/UI:N. Traducido:

el ataque se puede hacer por red;
es de baja complejidad;
no requiere credenciales previas;
no requiere que ningún usuario haga nada.

El resultado es acceso administrativo a la CLI. Desde ahí se podría leer, alterar o interrumpir la configuración de la red gestionada.

Ataques desde la «red adyacente»

CVE-2026-95732 y CVE-2026-95733 tienen el vector AV:A, es decir, red adyacente. El atacante tiene que estar en el mismo segmento de red que el equipo (la misma red local o VLAN, una subdivisión lógica de la red), no en cualquier punto de Internet. Eso limita el número de atacantes posibles, pero no es una barrera fuerte: un equipo comprometido dentro de la red interna cumple ese requisito.

Ambos fallos tienen además «alcance cambiado» (S:C): el daño puede ir más allá del componente vulnerable. En CVE-2026-95732, el fallo está en el sistema operativo sobre el que corre el producto. HPE no ha detallado públicamente cuál es ni qué componente concreto afecta a CVE-2026-95733.

Lo que no se sabe

HPE no ha publicado detalles técnicos más allá de las descripciones de los CVE. No consta ningún informe de un investigador externo ni ninguna prueba de concepto verificada. Algunos agregadores muestran entradas de «PoC» para estos CVE. No hemos podido verificarlas y parecen simples fichas de base de datos, así que conviene tratarlas con cautela.

Respuesta del creador

HPE

HPE publicó el boletín HPESBNW05172 junto con versiones corregidas y medidas de mitigación provisionales. Según la cobertura de prensa del boletín, HPE «insta encarecidamente» a sus clientes a actualizar, dada la complejidad, la amplitud y el impacto de los fallos. También declara que no tiene constancia de debate público ni de código de explotación dirigido a estas vulnerabilidades. Los fallos los encontró el propio fabricante en una revisión interna.

Autoridades

INCIBE-CERT publicó el aviso INCIBE-2026-830 (04/11/2026) con importancia 5, «crítica». Marca los tres CVE críticos como no explotados.
CISA: a fecha de este aviso, ninguno de los tres CVE críticos figura en el catálogo KEV, la lista de vulnerabilidades con explotación confirmada.
NVD: los registros están en «Awaiting Analysis», así que de momento solo existe la puntuación del fabricante.

La perspectiva jurídica

No hay fuga de datos ni incidente, así que no se activan por ahora obligaciones de notificación como las de los arts. 33 y 34 del RGPD. Lo que sí entra en juego es la diligencia debida. El art. 32 del RGPD exige medidas técnicas adecuadas al riesgo, y el art. 21 de la Directiva NIS2 incluye entre ellas la gestión de vulnerabilidades. Ante un fallo crítico con parche disponible en la herramienta que controla la red, documentar cuándo se conoció y cuándo se aplicó la corrección es la mejor defensa si más adelante hay que dar explicaciones.

Parches y mitigaciones

Versiones corregidas

Rama 7.4.x: actualizar a 7.4.1 o posterior.
Rama 7.3.x: actualizar a 7.3.5 o posterior.
Versiones 7.0 a 7.2 o sin soporte: migrar a una rama mantenida. HPE no publicará correcciones para ellas.

Las actualizaciones están en el portal de soporte de HPE Networking.

Mitigaciones mientras se actualiza

Restringir las interfaces de administración web y de línea de comandos a una VLAN de gestión dedicada o mediante reglas de cortafuegos, para que solo puedan llegar a ellas los equipos de administración autorizados. Esto reduce mucho la superficie de los fallos de red adyacente.
Activar y revisar el registro de la actividad administrativa para detectar accesos anómalos a la CLI o a la API.
Comprobar que la consola de Fabric Composer no es accesible desde Internet ni desde redes de usuarios o invitados.

Estas medidas no eliminan las credenciales incrustadas. Solo dificultan llegar hasta ellas. La corrección real es actualizar.

Qué hacer hoy

Hacer inventario: ¿se usa Fabric Composer y en qué versión?
Si la versión es la 7.4.0 o anterior a la 7.3.5, planificar la actualización con prioridad alta.
Aplicar ya el aislamiento de las interfaces de gestión.
Documentar las fechas de detección, decisión y aplicación del parche.