HPE ArubaOS-CX e Cisco Nexus 9000: RCE critiche, Windows 11 resetta il mouse

🛡️ Executive Summary

• HPE corregge CVE-2026-73749, buffer overflow che permette RCE senza autenticazione con privilegi elevati su diverse release ArubaOS-CX.
• Cisco Nexus 9000 con Silicon One espone CVE-2026-20212: input remoto sulle porte TCP 43210 e 43211 può ottenere codice root.
• Microsoft restringe il bug KB5120998 ai Windows 11 non inglesi: cursori e animazioni personalizzate non vengono caricati e tornano ai default.

Il ciclo di aggiornamenti di settembre apre con due vulnerabilità critiche sugli apparati di rete enterprise e una regressione Windows ora circoscritta con maggiore precisione. HPE ha corretto CVE-2026-73749 in ArubaOS-CX, un buffer overflow sfruttabile da remoto senza autenticazione per raggiungere l’esecuzione di codice con privilegi elevati. Cisco affronta invece CVE-2026-20212, falla CVSS 9,8 sui Nexus 9000 equipaggiati con Silicon One che può consegnare privilegi root attraverso due servizi TCP esposti. Sul desktop, Microsoft ha stabilito che il reset del mouse introdotto da KB5120998 riguarda esclusivamente le installazioni Windows 11 in lingue diverse dall’inglese.

ArubaOS-CX apre alla RCE senza autenticazione attraverso un daemon vulnerabile

La falla principale del nuovo bollettino HPE Aruba Networking dedicato ad ArubaOS-CX è CVE-2026-73749, descritta come un insieme di condizioni di buffer overflow all’interno di un daemon del sistema operativo di rete. Un aggressore remoto non autenticato può inviare pacchetti appositamente costruiti al servizio vulnerabile e, in caso di exploit riuscito, ottenere esecuzione di codice con privilegi elevati. HPE non pubblica dettagli sufficienti per ricostruire il protocollo interessato o sviluppare il vettore operativo, ma il requisito senza autenticazione rende la correzione prioritaria su qualunque switch il cui servizio vulnerabile sia raggiungibile da segmenti non fidati. Sono coinvolti AOS-CX 10.18.0001, 10.17.1021 e precedenti, 10.16.1051 e precedenti, 10.13.1180 e precedenti e il ramo 10.10.1180 e precedenti, ormai in End of Maintenance. Le versioni corrette partono rispettivamente da 10.18.1002, 10.17.1030, 10.16.1060, 10.13.1190 e 10.10.1181. HPE dichiara di non conoscere exploit pubblici o sfruttamento attivo al momento dell’advisory.

Leggi anche: Cisco Nexus 9000: falla RCE root e nuove vulnerabilità in IOS XR e Secure Email

HPE corregge altre 23 falle tra RCE, bypass e accesso amministrativo

CVE-2026-73749 rappresenta soltanto la vulnerabilità più grave di un aggiornamento molto più ampio. Il bollettino HPE contiene altre 23 CVE, diverse delle quali raggiungono punteggi CVSS compresi tra 8,1 e 8,8. CVE-2026-73750 consente a un utente remoto con privilegi ridotti di inviare input malformato a un modulo di gestione causando denial of service o potenziale esecuzione di codice elevato; CVE-2026-73751 permette command execution attraverso la console di gestione web; CVE-2026-73752 consente a un aggressore sulla rete adiacente e senza autenticazione di scrivere file arbitrari sul sistema operativo attraverso un endpoint API, con possibile evoluzione verso RCE. A queste si aggiungono CVE-2026-73753 per command injection attraverso operazioni CLI, CVE-2026-73782 per una format string sfruttabile senza autenticazione dalla rete adiacente e CVE-2026-73779, che può bypassare i controlli di autenticazione. Particolarmente delicata è anche CVE-2026-73778, legata a una password factory-default prevedibile sui dispositivi rimasti nella configurazione iniziale o post-ZTP: in determinate condizioni un attaccante remoto può ottenere il controllo amministrativo completo dello switch. Il quadro conferma come l’hardening degli apparati di rete non possa limitarsi alla singola RCE dominante, perché management plane, API, bootstrap e CLI costituiscono superfici differenti dello stesso dispositivo.

Cisco Nexus 9000 consegna root attraverso le porte TCP 43210 e 43211

La vulnerabilità Cisco è tecnicamente diversa ma presenta un impatto ancora più netto. Nell’advisory PSIRT dedicato a CVE-2026-20212, Cisco assegna un CVSS 9,8 alla falla presente nell’integrazione Silicon One di specifici Nexus 9000. Due servizi sulle porte TCP 43210 e 43211 risultano raggiungibili attraverso la VRF Layer 3 predefinita; un aggressore remoto non autenticato che riesce a connettersi può trasmettere input costruito in modo da essere eseguito come codice con privilegi root. Lo stesso input può mandare in crash il processo S1HAL e provocare il reload dell’apparato. Sono coinvolti dieci modelli specifici, tra cui N9324C-SE1U, N9348Y2C6D-SE1U, N9364E-SG2-O, N9364E-SG2-Q, N9396T12C-SE1, N9348Y12C-SE1, N9396Y12C-SE1, N9336C-SE1 e i modulari N9K-C9804 e N9K-C9808. Cisco esclude gli altri Nexus 9000, Nexus 3000, Nexus 7000, MDS 9000 e i fabric Nexus 9000 operanti in modalità ACI.

Cisco offre iACL e Live Protect ma la soluzione resta l’upgrade

A differenza di altre vulnerabilità critiche prive di mitigazioni, CVE-2026-20212 può essere temporaneamente contenuta limitando la reachability dei servizi vulnerabili. Cisco raccomanda infrastructure ACL capaci di bloccare il traffico TCP diretto agli indirizzi locali sulle porte 43210 e 43211, lasciando raggiungibili management e control plane soltanto dalle reti autorizzate. Per determinate configurazioni è disponibile anche uno shield Live Protect, pensato per applicare una protezione prima della maintenance window necessaria all’upgrade completo. Nessuna delle due misure sostituisce però la remediation: Cisco raccomanda esplicitamente di passare alle versioni NX-OS corrette individuate attraverso Software Checker. La società non segnala sfruttamento attivo. La rilevanza della falla deriva soprattutto dalla posizione occupata dal dispositivo: una compromissione root di uno switch data center non equivale al controllo di una normale workstation, perché l’attaccante si trova su un nodo che partecipa direttamente alla segmentazione e al trasporto del traffico dell’infrastruttura. Il ciclo PSIRT del 2 settembre comprende inoltre altre vulnerabilità critiche in IOS XR, confermando una fase di patching particolarmente intensa sul networking Cisco.

ArubaOS-CX e Nexus 9000 mostrano lo stesso problema da due superfici differenti

Le due vulnerabilità non condividono codice o causa tecnica, ma rappresentano lo stesso rischio architetturale: l’apparato di rete diventa un endpoint privilegiato. Nel caso HPE l’ingresso è un daemon che gestisce in modo scorretto input malformato; nel caso Cisco sono due servizi Silicon One esposti nella VRF predefinita. In entrambi gli scenari un attaccante può operare senza credenziali iniziali e arrivare all’esecuzione di codice con privilegi elevati. È proprio questa combinazione a rendere gli switch bersagli particolarmente sensibili: spesso dispongono di cicli di aggiornamento più conservativi dei server, vengono mantenuti per anni e possiedono una visibilità limitata per EDR e agent tradizionali. Il ciclo Cisco di settembre aveva già evidenziato RCE, debolezze IOS XR e problemi Secure Email, mentre l’advisory HPE aggiunge ora un secondo grande vendor alla stessa finestra di remediation. Per gli amministratori la priorità è verificare immediatamente release effettiva, esposizione del management plane, segmentazione e raggiungibilità dei servizi prima ancora di attendere eventuali exploit pubblici.

KB5120998 non è una vulnerabilità ma Microsoft restringe il bug ai PC non inglesi

Sul fronte Windows il problema appartiene a una categoria completamente diversa e non deve essere confuso con le due falle di rete. Microsoft ha aggiornato il proprio Windows Release Health stabilendo che la regressione del mouse introdotta da KB5120998, preview del 27 agosto per Windows 11 24H2 e 25H2, riguarda esclusivamente i sistemi configurati in lingue diverse dall’inglese. Le impostazioni personalizzate per cursori e animazioni possono non essere caricate correttamente e Windows torna quindi ai valori standard. Gli utenti hanno descritto puntatori personalizzati sostituiti da cursori bianchi più grandi e animazioni riportate alle configurazioni predefinite. Il dettaglio più importante è che tentare di reinserire manualmente i valori non risolve necessariamente il problema, perché Microsoft ha individuato la causa nei componenti di codice utilizzati dalle installazioni non inglesi: è il caricamento della configurazione a fallire, non semplicemente il valore a essere cancellato. Il bug è classificato come Confirmed e Microsoft sta preparando una correzione futura.

Il mouse si aggiunge allo sfondo nero nella stessa preview Windows 11

KB5120998 ha ormai accumulato più regressioni nello stesso sottosistema di personalizzazione. Il reset del mouse era emerso immediatamente dopo il rilascio della preview, quando Microsoft non aveva ancora chiarito che il problema fosse limitato alle localizzazioni non inglesi. Successivamente la società ha confermato anche un secondo difetto: sui PC Windows 11 24H2 e 25H2 alcune impostazioni Desktop possono smettere di caricarsi, sostituendo lo sfondo personalizzato con un background nero uniforme e coinvolgendo potenzialmente slideshow e temi a contrasto. Il nuovo problema del Desktop è stato confermato il 2 settembre e presenta la stessa caratteristica operativa: ripristinare manualmente le preferenze può risultare inutile perché Windows non riesce a caricarle. La preview resta un aggiornamento opzionale e non di sicurezza, destinato alle build 26100.9278 e 26200.9278, quindi chi non l’ha ancora installata può evitare questa specifica regressione senza rinviare il normale Patch Tuesday di sicurezza.

Continua con:

• Windows 11 26H2 entra nel Release Preview con KB5120998 e nuovi controlli privacy
• Windows 11 aggiorna le build mentre BTR.sys può disarmare Defender ed EDR

La priorità resta sugli switch: patchare prima che arrivino exploit pubblici

Le tre vicende richiedono quindi risposte operative differenti. KB5120998 produce una regressione di affidabilità e Microsoft sta lavorando alla correzione; non espone il PC a un attacco remoto e può essere evitato rinviando la preview opzionale. CVE-2026-73749 e CVE-2026-20212 appartengono invece al livello più alto della gestione del rischio perché permettono a soggetti non autenticati di raggiungere l’esecuzione di codice privilegiato su infrastrutture di rete. HPE e Cisco affermano di non conoscere exploitation attiva, ma patch, versioni vulnerabili e dettagli sufficienti sul vettore sono ormai pubblici. Il vantaggio temporale è quindi dalla parte dei difensori soltanto finché gli aggiornamenti vengono applicati rapidamente: su ArubaOS-CX significa portare ogni ramo alla build corretta indicata da HPE; sui Nexus 9000 Silicon One significa aggiornare NX-OS e, nell’attesa, restringere immediatamente l’accesso alle porte 43210 e 43211. In entrambi i casi, aspettare la comparsa di un exploit pubblico significherebbe trasformare una finestra di remediation già disponibile in una finestra di esposizione.