Fabric Composerに脆弱性3件、認証なしで管理者権限
HPE Networking Fabric Composerに、認証なしで管理者権限の取得やコード実行につながる重大な脆弱性3件が公表されました。対象の版を使う組織は、HPEの告知で修正版を確認して更新し、それまで管理用の接続元を絞ってください。
同じ発表の脆弱性 3 件
- CVE-2026-95731 重大 9.8
- CVE-2026-95732 重大 9.6
- CVE-2026-95733 重大 9.6
急ぎ度: 早めに
3件ともCVSS v3が9.6以上で、最大の9.8は認証なしでネットワーク越しに管理者権限を得られる脆弱性ですが、公表直後で、実際の悪用が確認されたとの情報は見当たらないためです。
関係があるか
HPE Networking Fabric Composerを社内のデータセンターやネットワーク基盤で運用している組織が対象です。管理用ネットワークの外から、または同じネットワークの端末から製品に到達できる環境ほど影響が大きくなります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| HPE Networking Fabric Composer | 7.0.0から7.3.4まで、および7.4.0 | HPEのセキュリティ告知で確認してください。 |
確かめ方
- 1Fabric Composerを運用している部署に、稼働中の環境（本番・検証・予備）をすべて挙げてもらい、それぞれの版を確認します。
- 2版が7.0.0から7.3.4、または7.4.0に当たるかを照らし合わせます。
- 3各環境の管理画面やコマンドラインに、どのネットワークや端末から到達できるかを洗い出します。同じセグメントにある端末も対象です。
- 4HPEのセキュリティ告知で、自社の版と修正版の組み合わせを確認します。
何が起きたか
HPE Networking Fabric Composerに、深刻な脆弱性が3件、2026年11月3日に公表されました。いずれも認証を受けていない攻撃者が悪用でき、成功すると管理者権限の取得や、製品上での任意のコード実行につながります。影響を受けるのは7.0.0から7.3.4までと7.4.0で、3件とも同じ版です。
3件の内容は次のとおりです。
- CVE-2026-95731: コマンドラインインターフェースに埋め込まれた固定のパスワードを使い、認証なしで管理者権限を得られる（CVSS v3は9.8）
- CVE-2026-95732: 基盤となるOSの認証回避により、認証なしで任意のコードを実行できる（CVSS v3は9.6）
- CVE-2026-95733: 製品の一部コンポーネントに固定の認証情報が使われており、認証なしで任意のコードを実行できる（CVSS v3は9.6）
公表直後の段階なので、まず自社の版と到達範囲を洗い出し、修正版の適用に進みたい脆弱性です。
攻撃の流れ
-
1
製品に到達する
攻撃者がFabric Composerへ通信できる位置に入ります。CVE-2026-95731はネットワーク越しで、ほかの2件は隣接した位置が前提です。
-
2
認証をすり抜ける
固定の認証情報や認証回避の不備を突き、正規のログインを経ずに操作を受け付けさせます。
-
3
管理者権限を得る
管理者権限での操作、または任意のコード実行が可能になります。
-
4
製品を掌握される
機密性・完全性・可用性のすべてに大きな影響が及ぶおそれがあります。
どう悪用されるか
3件とも認証は不要です。違いは攻撃者がいる位置にあります。
CVE-2026-95731は、ネットワーク越しのリモートから悪用でき、利用者の操作も要りません。製品に通信が届きさえすれば成り立つため、3件のなかで最も条件が緩い脆弱性です。
CVE-2026-95732とCVE-2026-95733は、隣接する位置にいる攻撃者が前提です。同じネットワークセグメントなど、製品の近くに入り込める端末がある場合に問題になります。
被害は、管理者権限の取得や任意のコード実行です。CVE-2026-95731は、機密性・完全性・可用性のすべてに高い影響が及ぶと評価されています。
今すぐやること
-
1
稼働中の版を洗い出す
本番・検証・予備を含めて、Fabric Composerの全環境の版を確認します。7.0.0から7.3.4、または7.4.0なら対象です。確認方法は製品の管理画面や運用手順書に従ってください。
-
2
HPEの告知で修正版を確認して更新する
HPEのセキュリティ告知を開き、自社の版に対応する修正版と適用手順を確認します。まず影響が大きい本番環境から、メンテナンス枠を確保して更新します。
-
3
接続元を絞る
管理画面とコマンドラインへ到達できる端末やネットワークを、運用に必要な管理用の範囲だけに限ります。インターネット側や一般の業務ネットワークから届く状態になっていないかも確認します。
-
4
更新後に不審な操作を調べる
更新の前後で、心当たりのない管理者のログインや設定変更がないかをログで確認します。見つかった場合は、製品単体で済ませず、管理下の機器の設定も点検します。
すぐ更新できないとき
修正版をすぐ当てられない間は、Fabric Composerへの通信を管理用ネットワークの限られた端末だけに許可し、ほかの経路をファイアウォールなどで遮断します。3件のうち2件は隣接した位置が前提なので、同じセグメントに置く端末も最小限にします。ただし、この対策は到達できる範囲を狭めるだけで、脆弱性そのものは残ります。固定の認証情報などへの個別の対処がHPEの告知に示されていれば、そちらも合わせて実施してください。
背景
Fabric Composerは、データセンターなどのネットワーク機器をまとめて設定・管理する製品です。多数の機器の設定を一か所で扱うため、この製品の管理者権限を握られると、個々の機器にも影響が及びかねません。構築時に管理用ネットワークの奥へ置かれ、運用に入ったあとは更新の優先度が下がりやすい種類のシステムでもあります。
今回の3件のうち2件は、固定の認証情報が絡んでいます。製品に最初から埋め込まれたIDやパスワードは、利用者が自分で設定したパスワードのように変更で消すことができません。一度知られると、製品を更新するまで、到達できる者に対して扉が開いたままになります。さらに認証回避の脆弱性も同時に公表されたことで、管理用ネットワークの境界を保てているかどうかが、実際のリスクを左右します。
よくある質問
Q.固定のパスワードは、自分で変更すれば防げますか。
まだ分かっていないこと
- CVE-2026-95733について、脆弱性がある具体的なコンポーネントは説明に書かれていません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 修正版 |
|---|---|---|---|
| Hewlett Packard Enterprise (HPE) | Fabric Composer |
7.4.0 〜 7.4.0 7.0.0 〜 7.3.4 |
— — |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Hardcoded password vulnerabilities in the command-line interface of HPE Networking Fabric Composer could allow an unauthenticated remote attacker to access the affected system using hardcoded credentials. Successful exploitation could allow an attacker to gain unauthorized administrative access to the affected system with elevated privileges.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web security-alert@hpe.com
- web nvd.nist.gov
- web github.com