CVE-2026-76721 : HPE Instant On RCE pré-auth CVSS 9.8

Les faits

Le 29 septembre 2026, HPE (Hewlett Packard Enterprise) a publié un avis de sécurité révélant 18 vulnérabilités dans ses équipements HPE Networking Instant On Access Points. Cinq de ces vulnérabilités sont classifiées comme critiques, dont deux atteignent le score CVSS maximal de 9.8 : CVE-2026-76721 et CVE-2026-76722. Ces deux failles permettent l'exécution de code à distance sans authentification préalable, constituant des vecteurs d'attaque particulièrement dangereux pour les réseaux Wi-Fi d'entreprise et les PME qui déploient massivement les équipements Instant On.

CVE-2026-76721 est un débordement de tampon (buffer overflow) dans le code de traitement des requêtes réseau des points d'accès HPE Networking Instant On. Un débordement de tampon survient lorsqu'un programme écrit davantage de données dans un tampon que sa capacité ne le permet, écrasant les zones mémoire adjacentes. Dans un scénario d'exploitation malveillante, un attaquant peut contrôler les données qui écrasent ces zones mémoire pour rediriger le flux d'exécution du programme vers du code arbitraire qu'il contrôle — typiquement du shellcode injecté dans le tampon. CVE-2026-76721 permet à un attaquant distant non authentifié d'exploiter ce mécanisme pour exécuter du code arbitraire avec les privilèges d'un utilisateur élevé sur l'équipement.

CVE-2026-76722 est une vulnérabilité de chaîne de format non contrôlée (uncontrolled format string, CWE-134). Ce type de faille survient lorsqu'une entrée contrôlée par l'attaquant est utilisée directement comme chaîne de format dans une fonction de la famille printf sans validation préalable. Les spécificateurs de format malveillants (comme %n, %x, %s) peuvent être utilisés pour lire ou écrire des zones mémoire arbitraires, permettant ultimement l'exécution de code ou la provocation d'un déni de service. CVE-2026-76722 partage le même score CVSS 9.8 que CVE-2026-76721 et offre des capacités similaires d'exécution de code à distance sans authentification, ainsi qu'un vecteur de déni de service pouvant rendre les points d'accès inopérants.

Au-delà de ces deux vulnérabilités critiques à CVSS 9.8, l'advisory HPE du 29 septembre 2026 révèle trois autres failles critiques dans les équipements Instant On, ainsi que 13 vulnérabilités de sévérité haute ou moyenne. Cette accumulation de failles critiques dans un seul cycle de correctifs indique soit une refonte significative du code de sécurité par HPE, soit qu'une équipe de recherche externe a conduit un audit approfondi des équipements et soumis l'ensemble de ses découvertes coordonnées. L'ensemble de ces 18 vulnérabilités est corrigé par la mise à jour vers la version 3.4.2.0 du firmware HPE Instant ON.

HPE Networking Instant On est une gamme d'équipements réseau conçue spécifiquement pour les petites et moyennes entreprises (PME), les succursales, et les environnements commerciaux de taille réduite comme les hôtels, restaurants, et commerces de détail. La proposition de valeur Instant On repose sur la simplicité de déploiement et de gestion, avec une application mobile et un portail cloud pour la configuration. Cette orientation PME implique que les équipements sont souvent déployés sans ressources de sécurité dédiées, avec des mises à jour moins régulières qu'en environnement enterprise, et potentiellement avec des interfaces de gestion accessibles depuis Internet pour permettre l'administration à distance.

La surface d'attaque pour CVE-2026-76721 et CVE-2026-76722 est particulièrement préoccupante dans les environnements où les points d'accès sont déployés dans des zones accessibles au public. Un attaquant à portée radio d'un point d'accès Instant On vulnérable, ou ayant accès réseau à l'interface de gestion, peut exploiter ces vulnérabilités sans détenir aucune forme d'accréditation. Dans les environnements hôteliers, de restauration ou de commerce, des attaquants pourraient physiquement se trouver dans le périmètre de couverture Wi-Fi et initier une attaque depuis leur propre appareil.

Contrairement aux vulnérabilités CVE-2026-76504 (Cisco SD-WAN) et CVE-2026-104286 (FortiMail) divulguées simultanément début octobre 2026, HPE a indiqué dans son advisory du 29 septembre n'avoir connaissance d'aucune exploitation active ni d'aucun code d'exploit public ciblant CVE-2026-76721 et CVE-2026-76722 à la date de publication. Cette absence d'exploitation active connue laisse une fenêtre d'opportunité pour appliquer le correctif avant que des acteurs malveillants ne développent et déploient des exploits fonctionnels, mais cette fenêtre peut se refermer rapidement une fois les détails techniques divulgués publiquement.

Le cycle de vie des vulnérabilités de type buffer overflow et format string dans les équipements embarqués (firmware) est généralement favorable aux attaquants une fois les détails techniques disponibles : les équipements embarqués utilisent fréquemment des architectures MIPS ou ARM avec des protections mémoire moins robustes que les OS modernes (ASLR partiel, absence de PIE, stack canaries absents ou contournables), facilitant le développement d'exploits stables. Les chercheurs en sécurité et les acteurs malveillants qui ont accès à l'advisory technique de HPE peuvent potentiellement développer un exploit fonctionnel en quelques jours à quelques semaines.

HPE Networking Instant On couvre une gamme étendue de points d'accès Wi-Fi 5 et Wi-Fi 6/6E, utilisés dans des centaines de milliers de déploiements PME en Europe et dans le monde. La France, avec sa forte densité de PME et de commerces utilisant des solutions Wi-Fi managées en cloud, représente un marché significatif pour cette gamme de produits. Les revendeurs et installateurs informatiques ayant déployé des solutions Instant On pour leurs clients doivent prioriser les mises à jour de firmware dans leur plan de gestion des correctifs.

Impact et exposition

Les équipements HPE Networking Instant On sont déployés massivement dans les PME, hôtels, restaurants, commerces et campus universitaires. Leur exposition réseau varie : certains modèles n'ont leur interface de gestion accessible que depuis le réseau local, d'autres permettent une administration cloud via Internet. Les deux vecteurs sont exploitables : un attaquant sur le réseau local Wi-Fi ou filaire peut directement cibler les points d'accès, tandis qu'un accès à l'interface de gestion cloud peut permettre une exploitation à distance.

La compromission d'un point d'accès Wi-Fi présente des risques spécifiques : interception du trafic des clients Wi-Fi connectés, attaques Man-in-the-Middle, rogue AP (création d'un réseau Wi-Fi clone pour piéger les utilisateurs), pivotement vers le réseau interne de l'organisation, et persistance via modification du firmware. Dans les environnements PME où le réseau Wi-Fi est partagé entre les postes de travail, les imprimantes, les caméras IP et les systèmes de caisse, la compromission d'un point d'accès peut exposer l'intégralité de l'infrastructure informatique.

HPE n'a pas signalé d'exploitation active au moment de la divulgation (29 septembre 2026). Cependant, compte tenu de la criticité CVSS 9.8, de la facilité d'exploitation (pré-authentification, réseau), et du très grand nombre d'équipements déployés, ces vulnérabilités représentent un risque élevé d'exploitation à court terme. Les organisations déployant des équipements HPE Instant On dans des environnements avec une forte exposition publique (accès client, zones communes) doivent traiter cette mise à jour comme prioritaire.

Recommandations immédiates

• Mettre à jour tous les équipements HPE Networking Instant On vers la version 3.4.2.0 — HPE Security Bulletin HPESB_2026-001 (ou référence équivalente dans le portail HPE Support)
• La mise à jour peut être déclenchée depuis l'application mobile Instant On ou depuis le portail de gestion cloud HPE Instant On
• Vérifier la version firmware de chaque point d'accès : dans l'app Instant On, naviguer vers Réseau > Points d'accès > [Sélectionner l'AP] > Infos du périphérique
• En attendant la mise à jour : restreindre l'accès à l'interface de gestion aux réseaux de confiance uniquement, désactiver l'administration à distance si non nécessaire
• Surveiller les logs de connexion des points d'accès pour détecter des tentatives d'exploitation (connexions depuis des adresses MAC inconnues, tentatives répétées)
• Contacter votre revendeur ou prestataire informatique si la mise à jour firmware ne peut pas être effectuée en autonomie