HPE heeft beveiligingsupdates uitgebracht voor HPE Networking Fabric Composer (AFC), de beheer- en orkestratiesoftware die datacenter‑switchfabrics aanstuurt. De updates dichten een reeks kwetsbaarheden, variërend van authenticatie‑bypasses en privilege‑escalaties tot remote code execution (RCE), command injection, cross‑site scripting (XSS), denial‑of‑service, arbitrary file write, path traversal en ongeautoriseerde toegang tot gevoelige informatie. Sommige fouten zijn op afstand misbruikbaar door niet‑ingelogde aanvallers; andere vergen juist beperkte rechten of toegang vanaf een aangrenzend netwerk. De impact raakt integriteit, vertrouwelijkheid en beschikbaarheid van zowel het systeem als de volledige fabric‑omgeving die door Fabric Composer wordt beheerd. (support.hpe.com)

De kwetsbaarheden zitten in meerdere lagen: in de REST‑API, in de webgebaseerde managementinterface en in het onderliggende besturingssysteem. Daardoor lopen organisaties risico op onder meer het verkrijgen van admin‑toegang, het uitvoeren van willekeurige commando’s met verhoogde rechten, het wijzigen van configuraties, datalekken en verstoring van netwerkdiensten. (vulnerability.circl.lu)

Een van de opvallendste problemen is CVE‑2026‑76658: een fout in de SSH‑daemon van Fabric Composer waarmee een aanvaller zonder inloggegevens van buitenaf code kan uitvoeren met hoge rechten. Succesvolle exploitatie kan leiden tot volledige overname van de managementhost, met potentieel verstrekkende gevolgen voor de aangestuurde switching‑infrastructuur. Staat de SSH‑beheerinterface publiek op internet, dan vergroot dat het risico op directe compromittering aanzienlijk. Het is daarom verstandig dergelijke interfaces nooit rechtstreeks bloot te stellen, maar uitsluitend bereikbaar te maken via bijvoorbeeld een VPN en/of strikte allowlists. (app.opencve.io)

Welke versies zijn getroffen en wat is de fix?

• Getroffen: HPE Networking Fabric Composer tot en met versie 7.3.3.
• Oplossing: update naar 7.3.4 of hoger; HPE heeft de patches op 1–2 september 2026 beschikbaar gesteld. (cyber.gc.ca)

Korte context en timing

• HPE publiceerde security bulletin HPESBNW05133 op 1 september 2026 (rev.1 op 2 september). Nationale CERT’s en overheidsinstanties, waaronder de Canadian Centre for Cyber Security en CERT‑FR, wijzen sindsdien actief op het belang van updaten. Ook het Nederlandse NCSC heeft een kennisgeving gepubliceerd die de hoofdtypen kwetsbaarheden en de risico’s samenvat. (support.hpe.com)

Aanbevolen acties voor beheerders

• Patch direct naar 7.3.4 of hoger. Plan onderhoudsvensters en test vooraf in een niet‑productieomgeving indien mogelijk. (cyber.gc.ca)
• Scherm managementinterfaces af: zet SSDe kans op misbruik van deze kwetsbaarheid is hoog en de schade is hoogTTPS alleen open op beheer‑VLANs, achter VPN of via strikte IP‑allowlists en Control Plane ACL’s.
• Minimaliseer rechten: herzie RBAC‑rollen, sleutelbeheer en API‑tokens; roteer wachtwoorden en sleutels na de update.
• Controleer logging en monitoring: kijk terug naar ongebruikelijke SSH‑aanmeldingen, API‑calls en configuratiewijzigingen in de afgelopen weken.
• Harden het platform: disable ongebruikte services, beperk toegang op netwerkniveau en dwing MFA af waar mogelijk.
• Inventariseer afhankelijkheden: omdat kwetsbaarheden ook het onderliggende OS en de web‑UI raken, is het belangrijk álle componenten up‑to‑date te houden. (support.hpe.com)

Wat is Fabric Composer ook alweer?
Fabric Composer is de datacenter‑orkestratielaag van HPE (voorheen Aruba), bedoeld om AOS‑CX‑gebaseerde switching‑fabrics en beleidsconfiguraties centraal te beheren. Daardoor heeft het product diepgaande rechten en zicht op het netwerk — precies waarom snelle patching en strak beheer van managementtoegang hier cruciaal zijn. (arubanetworking.hpe.com)

Samengevat: update naar minimaal 7.3.4, sluit beheerpoorten waar mogelijk af voor het open internet en controleer je omgeving actief op verdachte signalen. Met name CVE‑2026‑76658 verdient onmiddellijke aandacht vanwege de pre‑auth RCE‑impact via SSH. (app.opencve.io)

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.