HPE Fabric Composer: des identifiants codés en dur notés 9,8

Ce qui s'est passé

HPE a publié le 3 novembre 2026 le bulletin HPESBNW05172 (révision 1), vague de 56 vulnérabilités dans HPE Networking Fabric Composer, l'orchestrateur des maillages réseau de centres de données. La plus grave, CVE-2026-95731 (9,8, critique): des mots de passe codés en dur dans l'interface de ligne de commande permettent à un attaquant distant non authentifié d'obtenir un accès administrateur. Le bulletin couvre aussi l'exécution de code à distance et l'élévation de privilèges. Le CERT-FR a relayé les bulletins HPE du 3 novembre dans son avis CERTFR-2026-AVI-1451 du 4 novembre.

Pourquoi c'est important pour un hôtel

Fabric Composer ne vit pas dans le couloir: il pilote le maillage qui relie datacenter, back-office et parfois le réseau technique d'un grand établissement ou d'un campus. Un accès administrateur sans mot de passe valide, c'est la possibilité de dévier le trafic, d'isoler des systèmes ou de circuler vers les VLAN qui les jouxtent. Si votre groupe ou votre intégrateur exploite du matériel Aruba/HPE en centre de données, la question est précise: quelle version de Fabric Composer, corrigée quand.

Qui est concerné

HPE Networking Fabric Composer 7.4.x avant 7.4.1 et 7.3.x avant 7.3.5. Le même jour, le bulletin HPESBNW05173 corrige neuf failles du client d'accès à distance VIA (toutes plateformes avant 4.7.9), outil que les administrateurs réseau et intégrateurs utilisent pour rejoindre les sites. Cette vague ne concerne pas ClearPass ni les contrôleurs Wi-Fi ArubaOS.

Comment corriger

1. Monter Fabric Composer en 7.4.1 ou 7.3.5 selon la branche installée, en suivant le bulletin HPESBNW05172; la fenêtre se planifie hors pics, mais un mot de passe codé en dur ne se contourne pas.
2. Mettre le VIA client en 4.7.9 ou plus récent sur tous les postes d'exploitation réseau, y compris ceux des prestataires.
3. Vérifier que la console Fabric Composer n'est jamais joignable depuis l'internet et qu'un VLAN d'exploitation la protège.
4. Rechercher dans les journaux d'authentification toute session sur l'interface de commande provenant d'une adresse inhabituelle.
5. En cas de session suspecte: considérer le maillage compromis, tourner les identifiants et ouvrir l'investigation avec l'intégrateur.

Contexte

Cette vague était pré-annoncée par HPE; une autre est fixée au 10 novembre sur le cœur 5G privé. Elle illustre le risque des équipements d'orchestration: peu nombreux, très privilégiés, rarement dans la liste de patchs de l'établissement parce que gérés par un tiers. Le CERT-FR, dans son avis du 4 novembre, insiste sur l'exécution de code à distance et l'élévation de privilèges.