HPE Instant On AP Flaws Let Unauthenticated Attackers Execute Arbitrary Commands
2026/10/01 gbhackers — HPE が公表したのは、Networking Instant On アクセスポイントに影響する 18 件の脆弱性の情報とセキュリティ・アップデートのリリースである。これらには、任意のコード実行や特権による OS アクセスを、未認証の攻撃者に対して許す複数の深刻な脆弱性が含まれる。一連の脆弱性は、Instant On AP ソフトウェア 3.4.1.0 以下に影響を及ぼすものであり、HPE はアドバイザリ HPESBNW05150 rev. 1 で 3.4.2.0 以降への更新を推奨している。なお、対象となるデバイスには、Instant On のクラウド管理ポータルを通じて自動的に修正が適用される。
HPE Instant On AP の脆弱性
最も深刻な脆弱性は CVE-2026-76721／CVE-2026-76722 であり、いずれも CVSS v3.1 で 9.8 と評価されている。CVE-2026-76721 は、未認証でリモートから悪用可能なバッファ・オーバーフローの脆弱性であり、特権ユーザーとしての任意のコード実行を許す可能性がある。CVE-2026-76722 は、制御されていないフォーマット文字列に関連する脆弱性であり、未認証の攻撃者に対して、コマンド実行やサービス拒否 (DoS) を許す可能性がある。
さらに、CVE-2026-76723／CVE-2026-76724／CVE-2026-76725 という 3 件の深刻な脆弱性があり、それぞれの CVSS スコアは 9.6 である。これらの脆弱性を悪用するには、インターネットから直接接続するのではなく、隣接ネットワークからアクセスする必要がある。想定される影響としては、任意のコマンド実行／PAPI で取得したコマンドライン・インターフェイスを介したコマンド・インジェクション／認証バイパスによる昇格された権限でのリモートでのコード実行などが挙げられる。
このアドバイザリでは、未認証で悪用可能なリモート API の認証バイパスの脆弱性 CVE-2026-76726 (CVSS：8.1) も対処されている。この脆弱性は、特定の条件が満たされた場合に悪用され、攻撃者が制限されたネットワークへ不正にアクセスする可能性がある。
CVE の詳細
| CVE | Severity | CVSS | Attack requirement | Impact |
|---|---|---|---|---|
| CVE-2026-76721 | Critical | 9.8 | Unauthenticated, remote | Buffer overflow; privileged RCE |
| CVE-2026-76722 | Critical | 9.8 | Unauthenticated, remote | Format string; command execution/DoS |
| CVE-2026-76723 | Critical | 9.6 | Unauthenticated, adjacent | Buffer overflow; arbitrary commands/RCE |
| CVE-2026-76724 | Critical | 9.6 | Unauthenticated, adjacent | PAPI CLI command injection |
| CVE-2026-76725 | Critical | 9.6 | Unauthenticated, adjacent | Management-protocol authentication bypass; potential RCE |
| CVE-2026-76726 | High | 8.1 | Unauthenticated, remote | API authentication bypass; unauthorized network access |
| CVE-2026-76727 | High | 7.2 | Authenticated, remote, high privilege | Command injection |
| CVE-2026-76728 | High | 7.2 | Authenticated, remote, high privilege | SSRF leading to privileged command execution |
| CVE-2026-76729 | Medium | 6.6 | Authenticated, remote, high privilege | Format string; memory corruption, DoS or RCE |
| CVE-2026-76730 | Medium | 6.5 | Unauthenticated, adjacent | PAPI authentication bypass; unauthorized traffic |
| CVE-2026-76731 | Medium | 6.5 | Unauthenticated, remote | Captive-portal authentication bypass |
| CVE-2026-76732 | Medium | 6.4 | Authenticated, local, high privilege | Local privilege escalation to root |
| CVE-2026-76733 | Medium | 4.9 | Authenticated, remote, admin | API denial of service |
| CVE-2026-76734 | Medium | 4.8 | Unauthenticated, remote | Memory-corruption denial of service |
| CVE-2026-76735 | Medium | 4.1 | Authenticated, local, high privilege | Sensitive-information disclosure |
| CVE-2026-76736 | Low | 3.3 | Authenticated, local, low privilege | Buffer-overflow denial of service |
| CVE-2026-76737 | Low | 3.0 | Authenticated, local, admin | Path traversal; limited file modification/DoS |
| CVE-2026-76738 | Low | 2.7 | Authenticated, remote, admin | API buffer-overflow denial of service |
組織に求められるのは、サポート対象のすべての Instant On AP を、バージョン 3.4.2.0 以降へ優先的にアップデートすることである。さらに HPE が推奨するのは、Web ベースの管理インターフェイスを専用の Layer 2 セグメントまたは VLAN に分離し、Layer 3 以上のファイアウォール・ポリシーを適用し、アクティビティおよびリソース使用状況のログを保持することである。
メンテナンスが終了したリリースを使用している環境については、脆弱な状態にある可能性を考慮して取り扱う必要がある。HPE によると、9月29日にアドバイザリが公開された時点では、これらの脆弱性に関する公開の議論や、標的とするエクスプロイト・コードは確認されていない。しかし、脆弱性の数と潜在的な影響を考慮し、同社は顧客に対して速やかなパッチの適用を求めている。
HPE Networking Instant On アクセスポイントのソフトウェア 3.4.1.0 以前において、通信処理やフォーマット検証の不備に起因する深刻な不具合が見つかりました。悪用された場合、遠隔の第三者による不正な命令実行／システム権限の奪取／ネットワーク内部への不正侵入／サービスの停止といった重大な被害が生じます。主な CVE は CVE-2026-76721／CVE-2026-76722／CVE-2026-76723／CVE-2026-76724／CVE-2026-76725／CVE-2026-76726 です。クラウド管理を介した 3.4.2.0 以降への迅速な更新／管理用セグメントの分離／通信制限の導入などの保護策の実施が強く求められます。
You must be logged in to post a comment.