HPE ArubaOS: 72 fallos corregidos, ocho de gravedad máxima
HPE corrige 72 fallos en AOS-8 y AOS-10: ocho de gravedad máxima con RCE y omisión de autenticación sin credenciales. Versiones corregidas y mitigaciones.
El jueves 22 de octubre de 2026 Hewlett Packard Enterprise publicó el boletín HPESBNW05162 con las correcciones de 72 vulnerabilidades en los sistemas operativos inalámbricos AOS-8 y AOS-10 de HPE Aruba Networking, el software de mobility conductors, controladores, gateways y puntos de acceso. Ocho vulnerabilidades tienen gravedad máxima: permiten ejecutar código de forma remota o eludir la autenticación sin credenciales, con ataques de baja complejidad y sin interacción del usuario (BleepingComputer).
HPE afirma que no conoce código de exploit público ni explotación activa a la fecha del boletín, pero pide actualizar cuanto antes «por la complejidad, la amplitud y el impacto» de las vulnerabilidades. El Centre for Cybersecurity Belgium difundió el aviso con la recomendación de parchear de inmediato; también lo recogieron el Canadian Centre for Cyber Security (AV26-1079) e INCIBE-CERT (INCIBE-2026-789, importancia «crítica»).
Las ocho vulnerabilidades de gravedad máxima
| CVE | Tipo | Rama |
|---|---|---|
| CVE-2026-79844 | Omisión de autenticación con RCE | AOS-10 |
| CVE-2026-79845 | Omisión de autenticación en el protocolo PAPI | AOS-10 |
| CVE-2026-79846 | Inyección de comandos sin autenticación | AOS-8 |
| CVE-2026-79847 | Desbordamiento de búfer sin autenticación con RCE | AOS-10 |
| CVE-2026-79848 | Inyección SQL sin autenticación con RCE | AOS-8 |
| CVE-2026-79849 | Inyección SQL sin autenticación con RCE | AOS-8 |
| CVE-2026-79850 | Omisión de autenticación con RCE | AOS-8 |
| CVE-2026-79851 | Desbordamiento de búfer sin autenticación con RCE | AOS-10 |
Según la ficha de INCIBE-CERT, CVE-2026-79844 requiere condiciones previas que el atacante no controla, mientras que CVE-2026-79850 puede otorgar permisos de root. CVE-2026-79845 permite obtener acceso administrativo a través de PAPI, el protocolo propietario con el que se comunican puntos de acceso y controladores, y modificar configuraciones y datos sensibles.
Las demás vulnerabilidades críticas
Además de las ocho, el boletín incluye otras vulnerabilidades críticas. Según la ficha de INCIBE-CERT:
- accesibles de forma remota sin autenticación: inyecciones de comandos vía PAPI (CVE-2026-79857 en AOS-8, CVE-2026-79861 en AOS-10), desbordamientos de búfer con ejecución de código con permisos elevados (CVE-2026-79859, CVE-2026-79860, CVE-2026-79872), inyecciones SQL que llevan a comandos del sistema (CVE-2026-79852, CVE-2026-79854), una omisión de autenticación en SSH de AOS-8 con privilegios administrativos (CVE-2026-79855) y un desbordamiento de búfer y una inyección SQL en PAPI de AOS-8 (CVE-2026-79856, CVE-2026-79858);
- divulgación de información: CVE-2026-79853 en AOS-10, que puede facilitar la ejecución de comandos, CVE-2026-79871 en la CLI de AOS-10, accesible de forma remota sin autenticación, y CVE-2026-79876 en el procesamiento de tramas Wi-Fi;
- explotables desde una red adyacente: corrupción de memoria con ejecución de código (CVE-2026-79862, CVE-2026-79863, CVE-2026-79865), inyección de comandos (CVE-2026-79864), recorrido de directorios en PAPI con lectura, modificación o borrado de archivos (CVE-2026-79866) y una serie de omisiones de autenticación (CVE-2026-79867, CVE-2026-79868, CVE-2026-79869, CVE-2026-79870, CVE-2026-79873, CVE-2026-79874, CVE-2026-79875).
Los recuentos por gravedad no coinciden entre las fuentes. SecurityWeek indica 33 críticas, 31 altas, 8 medias y una baja. INCIBE-CERT habla de 74 vulnerabilidades (35 críticas, 31 altas, 7 medias, una baja), pero incluye dos fallos de PHP publicados por HPE en el mismo periodo para otros productos (ver a continuación); las CVE de AOS que enumera como críticas son 33, como en SecurityWeek.
Los hallazgos son del equipo interno de HPE Networking y de investigadores externos, entre ellos moonv, zzcentury y m0omo0d (INCIBE-CERT). Las fuentes no publican indicadores de compromiso. Técnicas MITRE ATT&CK pertinentes en caso de explotación: T1190 (explotación de aplicaciones expuestas) y T1210 (explotación de servicios remotos) para los vectores desde red adyacente.
Versiones afectadas y corregidas
Están afectados mobility conductors, controladores, gateways y puntos de acceso y, según HPE citada por SecurityWeek, también el hardware y las máquinas virtuales compatibles con los sistemas vulnerables.
| Rama | Afectadas | Corregida |
|---|---|---|
| AOS-10.8 | 10.8.1.1 y anteriores | 10.8.1.2 |
| AOS-10.7 | 10.7.2.6 y anteriores | 10.7.2.7 |
| AOS-10.4 | 10.4.1.13 y anteriores | 10.4.1.14 |
| AOS-8.13 | 8.13.3.0 y anteriores | 8.13.3.1 |
| AOS-8.10 | 8.10.0.23 y anteriores | 8.10.0.24 |
ClearPass y PHP2Shell
Junto al boletín de AOS, HPE publicó información sobre las dos vulnerabilidades de PHP conocidas como PHP2Shell, CVE-2026-109618 y CVE-2026-109619, que afectan a ClearPass Policy Manager 6.14.1 y 6.11.16 y anteriores (INCIBE-CERT). Hace falta el hotfix de PHP específico para 6.14.1 o 6.11.16: actualizar solo a esas versiones base no basta. Las versiones sin soporte deben considerarse vulnerables. También se citan HPE Data Management Framework 7, HPE Private Cloud AI y Cray ClusterStor Data Services, para los que el boletín general no indica versiones corregidas.
Impacto para las empresas europeas e italianas
Por los controladores inalámbricos pasan la autenticación de los usuarios, la segmentación y las políticas de red: quien los compromete puede moverse hacia los sistemas internos. Las vulnerabilidades explotables desde una red adyacente hacen importante también separar las redes de invitados y los segmentos de usuarios de las interfaces de administración.
Para las entidades sujetas a NIS2, la actualización forma parte de la gestión de vulnerabilidades prevista en las medidas de seguridad: conviene documentar inventario, prioridades y plazos de corrección. En el sector sanitario, donde la red inalámbrica a menudo transporta también dispositivos clínicos, planifica una ventana de mantenimiento que no interrumpa los servicios.
Qué hacer ya
- Inventaría conductors, controladores, gateways, puntos de acceso y VM con AOS-8 o AOS-10 y comprueba la versión de cada uno.
- Actualiza a la versión corregida de tu rama desde el portal de soporte de HPE Networking.
- Restringe las interfaces de administración, como recomienda HPE: CLI e interfaz web en un segmento o una VLAN dedicada y/o detrás de reglas del cortafuegos, con registro de la actividad de los usuarios.
- Comprueba que PAPI y las interfaces de administración no sean accesibles desde Internet ni desde las redes de invitados o de usuarios.
- ClearPass: instala el hotfix de PHP y limita la exposición pública de los portales de invitados.
- Revisa los registros de controladores y gateways: accesos administrativos inesperados, cambios de configuración no planificados, cuentas nuevas.
Cómo ayuda ARXDOME
ARX Expose muestra qué servicios de tu empresa son visibles desde Internet, útil para descubrir interfaces de administración expuestas. ARX Watch encuentra en la red los dispositivos sin sonda, incluidos los equipos de red, con sus puertos y servicios abiertos, y señala los nuevos o no autorizados.
Última actualización:
