Switches sind die stillen Arbeiter im Rack. Man steckt sie ein, konfiguriert einmal die VLANs — und dann schaut jahrelang niemand mehr hin. Genau deshalb ist die Meldung von HPE vom 1. September unangenehm: Der Hersteller hat in einem einzigen Bulletin 31 Schwachstellen in der Switch-Software ArubaOS-CX geschlossen. Und eine davon ist richtig böse.
EIN PAKET, VOLLE KONTROLLE
CVE-2026-73749 ist ein sogenannter Pufferüberlauf in einem Hintergrunddienst des Switch-Betriebssystems. Ein Angreifer schickt speziell präparierte Netzwerkpakete an diesen Dienst — und bringt ihn dazu, fremden Code auszuführen. Mit erhöhten Rechten, direkt auf dem Switch.
Das Unangenehme daran ist, was nicht gebraucht wird: keine Zugangsdaten, keine Nutzerinteraktion, kein vorheriger Fuß in der Tür. Wer den Dienst über das Netz erreicht, kann es versuchen. Die Wertung liegt bei CVSS 9.8.
Ein übernommener Switch ist nicht einfach ein kaputtes Gerät. Er ist ein Lauschposten mitten im Netz: Datenverkehr umleiten, VLAN-Grenzen aushöhlen, Monitoring-Ports einrichten — all das entscheidet die Switch-Firmware, und wer sie kontrolliert, entscheidet mit.
DIE ANDEREN 30
Der Rest des Bulletins ist kein Kleinkram. HPE listet 23 weitere Schwachstellen mit Wertungen zwischen 8.1 und 8.8 auf, darunter CVE-2026-73750, CVE-2026-73751 und CVE-2026-73752. Das sind Werte, die in einem normalen Monat jeweils eine eigene Schlagzeile bekämen. Hier stehen sie zu Dutzenden in einer Tabelle.
Eine gute Nachricht gibt es: Nach aktuellem Stand ist keine Ausnutzung in freier Wildbahn bekannt. Das ist ein echter Vorsprung — aber er hält erfahrungsgemäß nicht ewig. Sobald ein Patch draußen ist, machen sich Angreifer daran, aus dem Unterschied zwischen alter und neuer Version einen Angriffsweg zurückzurechnen.
DIESE VERSIONEN BRAUCHST DU
HPE nennt als korrigierte Ausgaben:
- AOS-CX 10.18.1002
- AOS-CX 10.17.1030
- AOS-CX 10.16.1060
- AOS-CX 10.13.1190
- AOS-CX 10.10.1181 — dieser Zweig steht nur noch unter eingeschränkter Pflege
Wer auf 10.10 festhängt, sollte den Umstieg auf einen aktiv gepflegten Zweig einplanen. Eingeschränkte Pflege heißt: Beim nächsten Mal gibt es vielleicht keinen Fix mehr.
WAS DU SOFORT TUN KANNST
Falls das Update nicht über Nacht durchgeht — und bei Core-Switches geht es das selten — hilft eine alte Regel: Das Management gehört nicht ins produktive Netz. Ein eigenes Management-VLAN, erreichbar nur von wenigen definierten Adressen, nimmt einem Angriff über das Netz die Grundlage. Das ersetzt keinen Patch, aber es kauft dir das Wartungsfenster, das du brauchst.
Und im Homelab? Dort steht selten ein Aruba-CX. Das Prinzip gilt trotzdem: Auch dein Managed Switch, dein NAS und dein Hypervisor haben Weboberflächen, die niemand aus dem WLAN der Gäste erreichen sollte.