Уязвимость командной инъекции в AOS-10 от HPE (CVE-2026-95708)

В каталоге CVE Project зарегистрирована уязвимость CVE-2026-95708, связанная с продуктом AOS-10 компании Hewlett Packard Enterprise (HPE). Проблема отнесена к классу «запись файла аутентифицированным пользователем с последующей командной инъекцией» и получила оценку CVSS 7.2, что соответствует высокому уровню критичности.

Подробности

Согласно записи CVE, уязвимость затрагивает AOS-10 — операционную систему, используемую в решениях HPE. Точные версии продукта в записи не указаны: поле Affected содержит обобщённое обозначение «Hewlett Packard Enterprise (HPE) Unknown product», а развёрнутое описание отсутствует. По этой причине установить конкретный перечень уязвимых сборок по данным CVE Project невозможно.

Судя по заголовку записи, механизм эксплуатации предполагает, что аутентифицированный пользователь может записать файл, содержимое которого в дальнейшем интерпретируется системой как команда. Это приводит к выполнению произвольных команд (command injection). Для эксплуатации, таким образом, требуется наличие действительных учётных данных — вектор атаки не является анонимным, что несколько снижает вероятность массовых атак, но повышает риск для сценариев с недостаточно строгим разграничением прав.

Оценка CVSS 7.2 (HIGH) отражает существенную опасность: успешная эксплуатация может привести к компрометации устройства или системы, нарушению конфиденциальности, целостности и доступности. Конкретные метрики вектора в записи не раскрыты, поэтому детализировать условия эксплуатации по первоисточнику нельзя.

Что делать

Поскольку запись CVE не содержит информации о версиях и официальных патчах, рекомендуем следующие шаги:

• Обратиться к официальным источникам HPE (security-бюллетени и портал поддержки) для уточнения перечня уязвимых версий AOS-10 и наличия обновления; при его публикации — установить как можно скорее.
• Ограничить доступ к административным интерфейсам и файловым операциям: применять принцип минимальных привилегий, пересмотреть роли пользователей, имеющих право записи файлов.
• Усилить мониторинг: включить журналирование действий аутентифицированных пользователей и отслеживать подозрительную активность, связанную с записью файлов и выполнением команд.
• Изолировать управляющие сети, ограничить доступ к устройствам по IP-адресам и использовать MFA там, где это поддерживается.

До публикации официальных рекомендаций вендора перечисленные митигации являются основными мерами снижения риска.

Уязвимость CVE-2026-95708 в AOS-10 требует от администраторов HPE оперативной проверки инфраструктуры и уточнения информации у вендора. Высокая оценка CVSS и возможность выполнения команд делают эту проблему приоритетной для организаций, использующих затронутые решения.

Источник: CVE Project (cvelistV5)