HPE Networking Fabric Composer 7.4.0 以前 CVE-2026-95735・95736・95738・95739・95740: 認証回避と証明書検証不備の5件、最大 CVSS 8.7

HPE は、データセンター向けネットワーク管理ソフト「HPE Networking Fabric Composer」に、認証回避や証明書検証の不備など 5 件の脆弱性があると公表しました（CVE-2026-95735・95736・95738・95739・95740）。NVD への登録は 2026-11-03、状態は Awaiting Analysis（NVD の分析待ち）です。CVSS は HPE（CVE 登録元）が付けた v3.1 の値で、NVD 自身の最終評価はまだありません。

何が起きるか

HPE の説明では、5 件とも「攻撃者の力では整えられない前提条件が満たされた場合」に成立するとされています（そのため攻撃の複雑さは高 = AC:H）。前提条件の中身は、公開情報からは分かりません。

• CVE-2026-95738（認証回避、CVSS 8.1）: 認証なしの遠隔の攻撃者が既存の認証を回避し、管理者権限を得られる恐れがあります。
• CVE-2026-95739（認証試行の回数制限なし、CVSS 8.1）: API が認証の試行回数を十分に制限しておらず、総当たり攻撃で管理者権限を得られる恐れがあります。
• CVE-2026-95735（証明書検証の不備、CVSS 8.7）: 認証なしの遠隔の攻撃者が、認証情報を含む機密情報を取得できる恐れがあります。影響範囲が広がる（スコープ変更あり）と評価されています。
• CVE-2026-95736（証明書検証の不備、CVSS 8.3）: 同じネットワーク内（隣接）の攻撃者が、機密情報を傍受できる恐れがあります。
• CVE-2026-95740（証明書検証の不備、CVSS 8.0）: 同じネットワーク内（隣接）の攻撃者が、この製品と外部サーバーとの通信を傍受できる恐れがあります。

影響を受ける版

• 7.4.0（7.4.0 以下）と、7.0.0 から 7.3.4 までが対象です（NVD に載った HPE の情報）。
• 同じ HPE の勧告（HPESBNW05172）に対応する修正版が示されているはずですが、勧告ページが読み込みに専用の画面を必要とするため、修正版の番号は今回確認できていません。

数値と severity

• 5 件の CVSS v3.1 は 8.0〜8.7 で、いずれも 9 未満です。基準どおり severity は high とします。
• 認証が不要という点では 5 件に共通しますが、悪用には前提条件（AC:H）や同一ネットワーク（AV:A）が必要です。
• EPSS（FIRST の 2026-11-04 の値）は 95738 が 0.45%、95739 が 0.46%、95735 が 0.22%、95736 が 0.10%、95740 が 0.10% です。いずれも低い値です。
• CISA の KEV には載っていません（確認時点の公開カタログ）。

対策として考えられること

1. Fabric Composer を使っている場合は、HPE の勧告（HPESBNW05172）で修正版を確認し、更新します。
2. 修正までの間は、管理画面と API に届くネットワークを管理用の範囲に絞り、外部から直接届かないようにします（一般的な対策で、この脆弱性への有効性は未確認です）。
3. 管理者アカウントのパスワードを強いものにし、ログイン試行の監視を強めます。95739 は総当たりを前提とした欠陥のため、特に重要です。
4. 同じ時期に公開された HPE Networking Virtual Intranet Access（VIA）の CVE-2026-95724 も証明書検証の不備で、別の製品の別件です。使っている場合は同じ HPE の勧告群で確認してください。

未確認の点

• 前提条件の中身、修正版の番号、回避策。
• 実際の悪用の有無、公開された概念実証（PoC）の有無。
• 利用規模。
• NVD の最終評価。