Falha crítica permite reset de passwords

A HPE disponibilizou atualizações de segurança para corrigir uma vulnerabilidade crítica no sistema operativo Aruba Networking AOS-CX que pode permitir a reposição de passwords de administrador.

A falha, identificada como CVE-2026-23813 e classificada com pontuação CVSS de 9,8, afeta a interface de gestão web dos switches AOS-CX e pode ser explorada remotamente sem necessidade de autenticação, permitindo contornar mecanismos de controlo de acesso.

A vulnerabilidade afeta várias famílias de switches da HPE Aruba Networking, incluindo as séries CX 4100i, CX 6000, CX 6100, CX 6200, CX 6300, CX 6400, CX 8320, CX 8325, CX 8360, CX 9300 e CX 10000.

Segundo o aviso de segurança da HPE, as organizações podem reduzir o risco restringindo o acesso às interfaces de gestão e aplicando políticas rigorosas de controlo de acesso.

A empresa recomenda também desativar interfaces HTTP e HTTPS em Switched Virtual Interfaces (SVIs) e portas roteadas, aplicar listas de controlo de acesso (ACL) para limitar a ligação aos endpoints HTTPS e REST, e reforçar mecanismos de registo, monitorização e auditoria das interfaces de gestão.

As correções foram incluídas nas versões AOS-CX 10.17.1001, 10.16.1030, 10.13.1161 e 10.10.1180.

As atualizações resolvem ainda três vulnerabilidades de elevada gravidade, nomeadamente a CVE-2026-23814, CVE-2026-23815 e CVE-2026-23816, que podem permitir a atacantes autenticados executar comandos maliciosos remotamente. Foi também corrigida uma vulnerabilidade de gravidade média que poderia permitir a atacantes redirecionar utilizadores para URL arbitrários.

A HPE indica que não tem conhecimento de exploração ativa destas vulnerabilidades, mas recomenda a aplicação das atualizações de segurança com prioridade.