Resumen ejecutivo
HPE ha corregido vulnerabilidades en los productos HPE Morpheus y HPE Morpheus Manager. Se trata de una vulnerabilidad de ejecución remota de código y de una exposición de información confidencial de certificados almacenados en el appliance, ambas de gravedad alta. Su explotación podría permitir a un atacante tomar el control del sistema u obtener credenciales y material criptográfico. Para aprovecharlas es necesario acceso remoto a la plataforma con una cuenta de privilegios bajos. No se tiene constancia de explotación activa. Se recomienda actualizar cuanto antes a las versiones corregidas por el fabricante.
Recursos afectados
- HPE Morpheus
- HPE Morpheus Manager
Análisis técnico
- CVE-2026-95778: Existe una vulnerabilidad de RCE en el software HPE Morpheus que permite la ejecución remota de código. Podría ser explotada para comprometer la confidencialidad, integridad y disponibilidad del sistema afectado, con impacto potencial que incluye la toma de control del servidor.
- CVSS: 8.8 (alta)
- Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
- Explotación: No detectada
- CVE-2026-95779: El software HPE Morpheus manager expone información confidencial del certificado almacenado en el appliance. El fallo permite la divulgación no autorizada de credenciales, lo que puede facilitar ataques de impersonación, acceso indebido y potenciales compromisos adicionales del entorno gestionado.
- CWE-200
- CVSS: 8.8 (alta)
- Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
- Explotación: No detectada
Mitigación / Solución
Medidas a adoptar:
- Aplicar las actualizaciones de seguridad publicadas por Hewlett-Packard en cuanto estén disponibles
- Restringir el acceso a las interfaces de administración de los productos afectados
- Monitorizar los sistemas afectados para detectar actividad anómala