HPE ArubaOS: 72 vulnerabilità corrette, otto di gravità massima
HPE corregge 72 falle in AOS-8 e AOS-10: otto di gravità massima con RCE e bypass dell’autenticazione senza login. Versioni corrette e mitigazioni.
Giovedì 22 ottobre 2026 Hewlett Packard Enterprise ha pubblicato il bollettino HPESBNW05162 con le correzioni per 72 vulnerabilità nei sistemi operativi wireless AOS-8 e AOS-10 di HPE Aruba Networking, il software di mobility conductor, controller, gateway e access point. Otto vulnerabilità hanno la gravità massima: permettono di eseguire codice da remoto o di aggirare l’autenticazione senza credenziali, con attacchi di bassa complessità e senza interazione dell’utente (BleepingComputer).
HPE dichiara di non conoscere codice di exploit pubblico né sfruttamenti in corso alla data del bollettino, ma chiede di aggiornare il prima possibile «per la complessità, l’ampiezza e l’impatto» delle vulnerabilità. Il Centre for Cybersecurity Belgium ha rilanciato l’avviso con l’invito ad aggiornare subito; lo hanno ripreso anche il Canadian Centre for Cyber Security (AV26-1079) e INCIBE-CERT (INCIBE-2026-789, importanza «critica»).
Le otto vulnerabilità di gravità massima
| CVE | Tipo | Ramo |
|---|---|---|
| CVE-2026-79844 | Bypass dell’autenticazione con RCE | AOS-10 |
| CVE-2026-79845 | Bypass dell’autenticazione nel protocollo PAPI | AOS-10 |
| CVE-2026-79846 | Command injection senza autenticazione | AOS-8 |
| CVE-2026-79847 | Buffer overflow senza autenticazione con RCE | AOS-10 |
| CVE-2026-79848 | SQL injection senza autenticazione con RCE | AOS-8 |
| CVE-2026-79849 | SQL injection senza autenticazione con RCE | AOS-8 |
| CVE-2026-79850 | Bypass dell’autenticazione con RCE | AOS-8 |
| CVE-2026-79851 | Buffer overflow senza autenticazione con RCE | AOS-10 |
Secondo la scheda di INCIBE-CERT, CVE-2026-79844 richiede condizioni preliminari che l’attaccante non controlla, mentre CVE-2026-79850 può dare permessi di root. CVE-2026-79845 consente di ottenere accesso amministrativo tramite PAPI, il protocollo proprietario con cui comunicano access point e controller, e di modificare configurazioni e dati sensibili.
Le altre vulnerabilità critiche
Oltre alle otto, il bollettino contiene altre vulnerabilità critiche. Dalla scheda di INCIBE-CERT:
- raggiungibili da remoto senza autenticazione: command injection via PAPI (CVE-2026-79857 in AOS-8, CVE-2026-79861 in AOS-10), buffer overflow con esecuzione di codice con permessi elevati (CVE-2026-79859, CVE-2026-79860, CVE-2026-79872), SQL injection che portano a comandi di sistema (CVE-2026-79852, CVE-2026-79854), bypass dell’autenticazione SSH di AOS-8 con privilegi amministrativi (CVE-2026-79855), buffer overflow e SQL injection in PAPI di AOS-8 (CVE-2026-79856, CVE-2026-79858);
- divulgazione di informazioni: CVE-2026-79853 in AOS-10, che può facilitare l’esecuzione di comandi, CVE-2026-79871 nella CLI di AOS-10, accessibile da remoto senza autenticazione, e CVE-2026-79876 nell’elaborazione dei frame Wi-Fi;
- sfruttabili da una rete adiacente: corruzione della memoria con esecuzione di codice (CVE-2026-79862, CVE-2026-79863, CVE-2026-79865), command injection (CVE-2026-79864), path traversal in PAPI con lettura e cancellazione di file (CVE-2026-79866) e una serie di bypass dell’autenticazione (CVE-2026-79867, CVE-2026-79868, CVE-2026-79869, CVE-2026-79870, CVE-2026-79873, CVE-2026-79874, CVE-2026-79875).
I conteggi per gravità non coincidono tra le fonti. SecurityWeek riporta 33 critiche, 31 alte, 8 medie e una bassa. INCIBE-CERT parla di 74 vulnerabilità (35 critiche, 31 alte, 7 medie, una bassa), ma include due falle PHP pubblicate da HPE nello stesso periodo per altri prodotti (vedi di seguito); le CVE di AOS che elenca come critiche sono 33, come per SecurityWeek.
Le ricerche sono del team interno di HPE Networking e di ricercatori esterni, tra cui moonv, zzcentury e m0omo0d (INCIBE-CERT). Le fonti non pubblicano indicatori di compromissione. Tecniche MITRE ATT&CK pertinenti in caso di sfruttamento: T1190 (sfruttamento di applicazioni esposte) e T1210 (sfruttamento di servizi remoti) per i vettori dalla rete adiacente.
Versioni colpite e corrette
Sono colpiti mobility conductor, controller, gateway e access point e, secondo HPE citata da SecurityWeek, anche hardware e macchine virtuali compatibili con i sistemi vulnerabili.
| Ramo | Colpite | Corretta |
|---|---|---|
| AOS-10.8 | 10.8.1.1 e precedenti | 10.8.1.2 |
| AOS-10.7 | 10.7.2.6 e precedenti | 10.7.2.7 |
| AOS-10.4 | 10.4.1.13 e precedenti | 10.4.1.14 |
| AOS-8.13 | 8.13.3.0 e precedenti | 8.13.3.1 |
| AOS-8.10 | 8.10.0.23 e precedenti | 8.10.0.24 |
ClearPass e la falla PHP2Shell
Insieme al bollettino di AOS, HPE ha pubblicato informazioni sulle due vulnerabilità PHP note come PHP2Shell, CVE-2026-109618 e CVE-2026-109619, che riguardano ClearPass Policy Manager 6.14.1 e 6.11.16 e precedenti (INCIBE-CERT). Serve l’hotfix PHP specifico per 6.14.1 o 6.11.16: passare solo a queste versioni base non basta. Le versioni fuori supporto vanno considerate vulnerabili. Sono citati anche HPE Data Management Framework 7, HPE Private Cloud AI e Cray ClusterStor Data Services, per i quali il bollettino generale non indica versioni corrette.
Impatto per le aziende europee e italiane
I controller wireless sono il punto da cui passano autenticazione degli utenti, segmentazione e politiche della rete: chi li compromette può spostarsi verso i sistemi interni. Le vulnerabilità sfruttabili da una rete adiacente rendono importante anche la separazione delle reti ospiti e dei segmenti degli utenti dalle interfacce di gestione.
Per i soggetti NIS2 l’aggiornamento rientra nella gestione delle vulnerabilità prevista dalle misure di sicurezza: conviene documentare inventario, priorità e tempi di correzione. Nella sanità, dove la rete wireless porta spesso anche dispositivi clinici, va pianificata una finestra di manutenzione che non interrompa i servizi.
Cosa fare subito
- Inventaria conductor, controller, gateway, access point e VM con AOS-8 o AOS-10 e controlla la versione di ciascuno.
- Aggiorna alla versione corretta del tuo ramo, dal portale di supporto di HPE Networking.
- Limita le interfacce di gestione, come raccomanda HPE: CLI e interfaccia web su un segmento o una VLAN dedicata e/o dietro regole del firewall, con registrazione delle attività degli utenti.
- Verifica che PAPI e le interfacce di gestione non siano raggiungibili da Internet né dalle reti ospiti o degli utenti.
- ClearPass: installa l’hotfix PHP e limita l’esposizione pubblica dei portali ospiti.
- Controlla i log di controller e gateway: accessi amministrativi inattesi, modifiche di configurazione non pianificate, nuovi account.
Come aiuta ARXDOME
ARX Expose mostra quali servizi della tua azienda sono visibili da Internet, utile per scoprire interfacce di gestione esposte. ARX Watch trova sulla rete i dispositivi senza sonda, compresi gli apparati di rete, con porte e servizi aperti, e segnala quelli nuovi o non autorizzati.
Ultimo aggiornamento:
