HPE ArubaOS: 72 de breșe corectate, opt de gravitate maximă
HPE corectează 72 de vulnerabilități în AOS-8 și AOS-10: opt de gravitate maximă, cu RCE și ocolirea autentificării fără credențiale. Versiuni corectate.
Joi, 22 octombrie 2026, Hewlett Packard Enterprise a publicat buletinul HPESBNW05162 cu corecții pentru 72 de vulnerabilități în sistemele de operare wireless AOS-8 și AOS-10 ale HPE Aruba Networking, software-ul care rulează pe mobility conductors, controllere, gateway-uri și access point-uri. Opt vulnerabilități au gravitate maximă: permit executarea de cod de la distanță sau ocolirea autentificării fără credențiale, prin atacuri de complexitate redusă și fără interacțiunea utilizatorului (BleepingComputer).
HPE declară că nu cunoaște cod de exploit public și nici exploatări active la data buletinului, dar cere actualizarea cât mai rapidă „din cauza complexității, amplorii și impactului” vulnerabilităților. Centre for Cybersecurity Belgium a preluat avizul cu îndemnul de a aplica imediat patch-urile; l-au preluat și Canadian Centre for Cyber Security (AV26-1079) și INCIBE-CERT (INCIBE-2026-789, importanță „critică”).
Cele opt vulnerabilități de gravitate maximă
| CVE | Tip | Ramură |
|---|---|---|
| CVE-2026-79844 | Ocolirea autentificării cu RCE | AOS-10 |
| CVE-2026-79845 | Ocolirea autentificării în protocolul PAPI | AOS-10 |
| CVE-2026-79846 | Command injection fără autentificare | AOS-8 |
| CVE-2026-79847 | Buffer overflow fără autentificare cu RCE | AOS-10 |
| CVE-2026-79848 | SQL injection fără autentificare cu RCE | AOS-8 |
| CVE-2026-79849 | SQL injection fără autentificare cu RCE | AOS-8 |
| CVE-2026-79850 | Ocolirea autentificării cu RCE | AOS-8 |
| CVE-2026-79851 | Buffer overflow fără autentificare cu RCE | AOS-10 |
Potrivit fișei INCIBE-CERT, CVE-2026-79844 necesită condiții prealabile pe care atacatorul nu le controlează, în timp ce CVE-2026-79850 poate oferi permisiuni de root. CVE-2026-79845 permite obținerea accesului administrativ prin PAPI, protocolul proprietar prin care comunică access point-urile și controllerele, și modificarea configurațiilor și a datelor sensibile.
Celelalte vulnerabilități critice
Pe lângă cele opt, buletinul conține și alte vulnerabilități critice. Din fișa INCIBE-CERT:
- accesibile de la distanță fără autentificare: command injection prin PAPI (CVE-2026-79857 în AOS-8, CVE-2026-79861 în AOS-10), buffer overflow cu executare de cod cu permisiuni ridicate (CVE-2026-79859, CVE-2026-79860, CVE-2026-79872), SQL injection care duc la comenzi de sistem (CVE-2026-79852, CVE-2026-79854), ocolirea autentificării SSH în AOS-8 cu privilegii administrative (CVE-2026-79855), un buffer overflow și un SQL injection în PAPI din AOS-8 (CVE-2026-79856, CVE-2026-79858);
- divulgare de informații: CVE-2026-79853 în AOS-10, care poate facilita executarea de comenzi, CVE-2026-79871 în CLI-ul AOS-10, accesibilă de la distanță fără autentificare, și CVE-2026-79876 în procesarea cadrelor Wi-Fi;
- exploatabile dintr-o rețea adiacentă: coruperea memoriei cu executare de cod (CVE-2026-79862, CVE-2026-79863, CVE-2026-79865), command injection (CVE-2026-79864), path traversal în PAPI cu citirea, modificarea sau ștergerea fișierelor (CVE-2026-79866) și o serie de ocoliri ale autentificării (CVE-2026-79867, CVE-2026-79868, CVE-2026-79869, CVE-2026-79870, CVE-2026-79873, CVE-2026-79874, CVE-2026-79875).
Numărătorile pe niveluri de gravitate diferă între surse. SecurityWeek raportează 33 critice, 31 ridicate, 8 medii și una scăzută. INCIBE-CERT vorbește de 74 de vulnerabilități (35 critice, 31 ridicate, 7 medii, una scăzută), dar include două vulnerabilități PHP publicate de HPE în aceeași perioadă pentru alte produse (vezi în continuare); CVE-urile AOS pe care le enumeră drept critice sunt 33, ca la SecurityWeek.
Descoperirile aparțin echipei interne HPE Networking și unor cercetători externi, printre care moonv, zzcentury și m0omo0d (INCIBE-CERT). Sursele nu publică indicatori de compromitere. Tehnici MITRE ATT&CK relevante în caz de exploatare: T1190 (exploatarea aplicațiilor expuse) și T1210 (exploatarea serviciilor la distanță) pentru vectorii din rețeaua adiacentă.
Versiuni afectate și corectate
Sunt afectate mobility conductors, controllere, gateway-uri și access point-uri și, potrivit HPE citată de SecurityWeek, și hardware-ul și mașinile virtuale compatibile cu sistemele vulnerabile.
| Ramură | Afectate | Corectată |
|---|---|---|
| AOS-10.8 | 10.8.1.1 și anterioare | 10.8.1.2 |
| AOS-10.7 | 10.7.2.6 și anterioare | 10.7.2.7 |
| AOS-10.4 | 10.4.1.13 și anterioare | 10.4.1.14 |
| AOS-8.13 | 8.13.3.0 și anterioare | 8.13.3.1 |
| AOS-8.10 | 8.10.0.23 și anterioare | 8.10.0.24 |
ClearPass și PHP2Shell
Odată cu buletinul AOS, HPE a publicat informații despre cele două vulnerabilități PHP cunoscute ca PHP2Shell, CVE-2026-109618 și CVE-2026-109619, care afectează ClearPass Policy Manager 6.14.1 și 6.11.16 și versiunile anterioare (INCIBE-CERT). Este nevoie de hotfix-ul PHP specific pentru 6.14.1 sau 6.11.16: simpla trecere la aceste versiuni de bază nu este suficientă. Versiunile fără suport trebuie considerate vulnerabile. Sunt menționate și HPE Data Management Framework 7, HPE Private Cloud AI și Cray ClusterStor Data Services, pentru care buletinul general nu indică versiuni corectate.
Impactul pentru companiile europene și italiene
Prin controllerele wireless trec autentificarea utilizatorilor, segmentarea și politicile rețelei: cine le compromite se poate deplasa spre sistemele interne. Vulnerabilitățile exploatabile dintr-o rețea adiacentă fac importantă și separarea rețelelor pentru oaspeți și a segmentelor utilizatorilor de interfețele de administrare.
Pentru entitățile NIS2, actualizarea face parte din gestionarea vulnerabilităților prevăzută de măsurile de securitate: merită documentate inventarul, prioritățile și termenele de corectare. În sănătate, unde rețeaua wireless transportă adesea și dispozitive medicale, planifică o fereastră de mentenanță care să nu întrerupă serviciile.
Ce să faci acum
- Inventariază conductors, controllere, gateway-uri, access point-uri și VM-uri cu AOS-8 sau AOS-10 și verifică versiunea fiecăruia.
- Actualizează la versiunea corectată a ramurii tale, din portalul de suport HPE Networking.
- Restricționează interfețele de administrare, cum recomandă HPE: CLI și interfața web într-un segment sau un VLAN dedicat și/sau în spatele regulilor firewall-ului, cu înregistrarea activității utilizatorilor.
- Verifică faptul că PAPI și interfețele de administrare nu sunt accesibile din Internet și nici din rețelele pentru oaspeți sau ale utilizatorilor.
- ClearPass: instalează hotfix-ul PHP și limitează expunerea publică a portalurilor pentru oaspeți.
- Verifică jurnalele controllerelor și gateway-urilor: accesări administrative neașteptate, modificări de configurație neplanificate, conturi noi.
Cum ajută ARXDOME
ARX Expose arată ce servicii ale companiei tale sunt vizibile din Internet, util pentru a descoperi interfețe de administrare expuse. ARX Watch găsește în rețea dispozitivele fără sondă, inclusiv echipamentele de rețea, cu porturile și serviciile deschise, și le semnalează pe cele noi sau neautorizate.
Ultima actualizare:
