Hewlett Packard Enterprise пусна корекции за сигурност за HPE Networking EdgeConnect SD-WAN Gateways и SD-WAN Orchestrator след идентифицирането на десетки уязвимости, включително критични слабости, които биха могли да позволят на отдалечени атакуващи да поемат пълен контрол над засегнатите системи.
HPE проследява проблемите в бюлетина за сигурност HPESBNW05135, публикуван на 15 септември 2026 г. Най-сериозните уязвимости засягат интерфейсите за управление и програмните интерфейси за приложения (API), използвани от средите с EdgeConnect SD-WAN.
От HPE заявиха, че клиентите трябва да инсталират наличните актуализации възможно най-скоро, тъй като успешното им експлоатиране може да разкрие идентификационни данни, да позволи изпълнение на произволни команди, да наруши мрежовите операции или напълно да компрометира хост на Orchestrator или шлюз устройство.
Критични уязвимости в HPE
Критичните уязвимости включват CVE-2026-76669 и CVE-2026-76670, които представляват проблеми с заобикаляне на авторизацията в API на EdgeConnect SD-WAN Orchestrator.
Отдалечен атакуващ с автентифициран достъп с ниски привилегии би могъл да експлоатира тези слабости, за да ескалира привилегиите си до администраторско ниво. И двете уязвимости получиха CVSS оценка от 9.9.
Друг критичен проблем, CVE-2026-76672, може да разкрие чувствителна информация за конфигурацията от Orchestrator. Автентифициран потребител с права само за четене би могъл да изпрати специално форматирана заявка към крайна точка за синхронизация на кеша и да получи API токени и идентификационни данни за външни системи.
От HPE предупредиха, откраднатите идентификационни данни могат да улеснят страничното движение (lateral movement) към свързани външни платформи за сигурност. Тази слабост също има CVSS оценка от 9.9.
HPE разкри и CVE-2026-76673 — критична уязвимост за заобикаляне на автентикацията в API на Orchestrator (CVSS 9.8), която би могла да позволи на неавтентифицирани отдалечени атакуващи да придобият администраторски привилегии и напълно да компрометират хоста без валиден акаунт.
Втора уязвимост с CVSS оценка 9.8, CVE-2026-76674, засяга EdgeConnect SD-WAN Gateways. Проблемът е свързан с препълване на буфера в основната операционна система.
| CVE | Засегнат продукт | Тип уязвимост | CVSS v3.1 |
|---|---|---|---|
| CVE-2026-76669 | HPE EdgeConnect SD-WAN Orchestrator | API Authorization Bypass / Privilege Escalation | 9.9 |
| CVE-2026-76670 | HPE EdgeConnect SD-WAN Orchestrator | API Authorization Bypass / Privilege Escalation | 9.9 |
| CVE-2026-76672 | HPE EdgeConnect SD-WAN Orchestrator | Authenticated Information Disclosure | 9.9 |
| CVE-2026-76673 | HPE EdgeConnect SD-WAN Orchestrator | API Authentication Bypass | 9.8 |
| CVE-2026-76674 | HPE EdgeConnect SD-WAN Gateways | Unauthenticated Buffer Overflow / RCE | 9.8 |
Неавтентифициран отдалечен атакуващ би могъл да експлоатира уязвимостта, за да изпълни произволен код и команди върху засегнатото устройство, като потенциално придобие пълен контрол над шлюза.
Бюлетинът покрива също уязвимости с висока степен на опасност, свързани с инжектиране на команди, препълване на буфера, фалшифициране на заявки от страна на сървъра (SSRF), разкриване на информация, ескалация на привилегии и отказ от обслужване (DoS).
Няколко слабости позволяват на автентифицирани потребители с ниски привилегии да изпълняват команди с root права, докато други могат да позволят на неавтентифицирани атакуващи да предизвикат срив на услуги или достъп до чувствителна системна информация.
Засегнатите версии на Gateway включват ECOS 9.7.0.0 и по-ранни, 9.6.3.1 и по-ранни, 9.5.8.1 и по-ранни, както и 9.4.8.2 и по-ранни. Засегнатите версии на Orchestrator включват версия 9.7.0 и по-ранни, 9.6.3 и по-ранни, 9.5.8 и по-ранни, както и 9.4.10 и по-ранни.
HPE отстрани уязвимостите в ECOS 9.7.1.0, 9.6.4.0, 9.5.9.0 и 9.4.9.0 или по-нови. За Orchestrator организациите трябва да актуализират до версии 9.7.1, 9.6.4, 9.5.9 или 9.4.11 или по-нови. От HPE отбелязаха, че версията на Orchestrator трябва да бъде същата или по-нова от версията на ECOS, изпълнявана на управляваните шлюзове.
Като временна защитна мярка HPE препоръчва изолиране на интерфейсите за команден ред и уеб управление в специализиран Layer 2 сегмент или VLAN, прилагане на Layer 3 политики на защитната стена и водене на дневник на административната активност. От HPE заявиха, че не са запознати с публичен код за експлоатация или активна атака към момента на публикуване на бюлетина.