Am 10. März 2026 hat HPE Aruba Networking die Schwachstelle CVE-2026-23813 in AOS-CX offengelegt – laut Hersteller mit einem CVSS-Wert von 9,8. Ein nicht authentifizierter Angreifer mit Zugriff auf das Web-Management-Interface kann die Authentifizierung umgehen und laut Hersteller in bestimmten Konstellationen das Admin-Passwort zurücksetzen. Das Ergebnis ist die vollständige Kontrolle über den Switch: VLANs, ACLs, Spiegelports, Routing – alles, was ein Administrator kann. Im selben Advisory wurden zudem drei als High eingestufte Command-Injection-Schwachstellen behoben (CVE-2026-23814, -23815, -23816).
Die gute Nachricht: Es gibt derzeit keine bekannten Ausnutzungen, keinen öffentlichen Exploit-Code und keinen Eintrag im KEV-Katalog der CISA. Genau deshalb ist jetzt der richtige Zeitpunkt zu handeln – solange das Zeitfenster zwischen Offenlegung und ersten Angriffsversuchen noch Ihnen gehört. Die Erfahrung mit vergleichbaren Management-Plane-Lücken zeigt, dass dieses Fenster selten lange offen bleibt.
Das Muster ist dabei nicht neu: Bereits im Juni 2025 schloss HPE mit CVE-2025-37093 (CVSS 9,8) einen Authentication-Bypass in den StoreOnce-Backup-Appliances – ebenfalls kritisch, ebenfalls ohne bekannte Ausnutzung, ebenfalls in der Management-Ebene. Ob Switch oder Backup-Appliance: Die Verwaltungszugänge von Infrastrukturkomponenten sind wiederkehrend das schwächste Glied und verdienen dieselbe Härtung wie jedes exponierte System.
Wer ist betroffen
Betroffen sind AOS-CX-Switches der Serien CX 4100i, 6000, 6100, 6200F, 6300, 6400, 8320, 8325, 8360, 8400, 9300 und 10000 – also praktisch das gesamte aktuelle Campus- und Data-Center-Portfolio, vom Access-Switch in der Etage bis zum Core. HPE stellt fehlerbereinigte Versionen je Zweig bereit: AOS-CX 10.17.1001, 10.16.1030, 10.13.1161 und 10.10.1180.
Angriffsvoraussetzung ist Erreichbarkeit des Web-Managements. Wer seine Management-Interfaces sauber in ein separates Netz gelegt hat, hat die Ausnutzbarkeit bereits drastisch reduziert – wer das Web-UI aus dem Produktiv- oder Client-Netz erreichbar betreibt, sollte die Lücke wie akut behandeln.
Was jetzt zu tun ist
- Bestand klären: Welche AOS-CX-Switches laufen auf welchem Versionszweig, und von wo ist deren Web-Management erreichbar?
- Zweiggerecht patchen: auf 10.17.1001, 10.16.1030, 10.13.1161 bzw. 10.10.1180 – im nächsten geplanten Wartungsfenster, nicht irgendwann.
- Management-Zugänge isolieren: Switch- und Appliance-Management gehört in ein dediziertes Management-VLAN bzw. eine eigene Firewall-Zone – niemals in unvertrauenswürdige Netze und erst recht nicht ins Internet. Das ist die eine Maßnahme, die auch gegen die nächste Lücke dieser Art wirkt.
- Zugriff einschränken: Web-UI-Erreichbarkeit per ACL auf Admin-Netze begrenzen; nicht benötigte Management-Dienste deaktivieren.
- StoreOnce mitprüfen: Backup-Appliances auf Version 4.3.11 oder neuer bringen – die Backup-Infrastruktur ist im Ransomware-Fall Ihre letzte Verteidigungslinie.
- Kontrolle behalten: Unerwartete Admin-Passwort-Änderungen und Konfigurationsänderungen an Switches zentral loggen und alarmieren.
Wie sector7 unterstützt
Als inhabergeführtes Systemhaus mit HPE-Zertifizierung planen und fahren wir das Patch-Rollout über Ihre gesamte Switch-Landschaft – inklusive sauberer Trennung der Management-Netze. Unser 24/7-NOC-Monitoring meldet Konfigurations- und Statusänderungen Ihrer Infrastruktur rund um die Uhr, und mit unserer Veeam-Backup-Praxis stellen wir sicher, dass auch die Backup-Ebene gehärtet ist. Alles zu festen Monatspreisen.
Quellen
- HPE Security Bulletin HPESBNW05027: https://support.hpe.com/hpesc/public/docDisplay?docId=hpesbnw05027en_us&docLocale=en_US
- SecurityWeek zum AOS-CX-Advisory (14.03.2026): https://www.securityweek.com/critical-hpe-aos-cx-vulnerability-allows-admin-password-resets/
- SecurityWeek zu CVE-2025-37093 (StoreOnce, Juni 2025): https://www.securityweek.com/hpe-patches-critical-vulnerability-in-storeonce/