Hewlett Packard Enterprise hat Updates veröffentlicht, die 72 Schwachstellen in ArubaOS beheben. Acht davon sind laut BleepingComputers Bericht vom 23. Oktober 2026 als Schwachstellen mit höchstem Schweregrad eingestuft, die eine Umgehung der Authentifizierung und die Ausführung von Code ermöglichen. HPE forderte Kunden auf, die Patches zeitnah einzuspielen und den Zugriff auf Verwaltungsschnittstellen einzuschränken.
Die acht Schwachstellen betreffen AOS-8 und AOS-10 und sind als aus der Ferne mit geringer Komplexität, ohne bestehende Berechtigungen oder Benutzerinteraktion ausnutzbar eingestuft. Für CVE-2026-79844 in AOS-10 und CVE-2026-79846 in AOS-8 setzt die Befehlsausführung laut HPE jedoch bestimmte Bedingungen voraus, die außerhalb der Kontrolle des Angreifers liegen; das Bulletin nennt diese Bedingungen nicht näher.
ArubaOS, auch als AOS bekannt, betreibt die Funkinfrastruktur für Unternehmen von Aruba Networking, darunter Mobility Conductors, Access Points, Controller und Gateways.
Schwachstellen betreffen AOS-8 und AOS-10
Für AOS-8 führt der Bericht vier Probleme mit höchstem Schweregrad auf. CVE-2026-79846 erlaubt eine Command Injection ohne Authentifizierung, während CVE-2026-79848 und CVE-2026-79849 eine SQL-Injection ohne Authentifizierung betreffen, die zur Remote Code Execution führt. Eine Umgehung der Authentifizierung, die zur Remote Code Execution führt, ist unter CVE-2026-79850 aufgeführt.
Für AOS-10 wird eine Umgehung der Authentifizierung, die zur Remote Code Execution führt, als CVE-2026-79844 geführt. Zwei weitere Einträge, CVE-2026-79847 und CVE-2026-79851, beschreiben Pufferüberläufe, die eine Remote Code Execution ohne Authentifizierung ermöglichen.
Ein tatsächlicher Konflikt bei der Kennung betrifft CVE-2026-79845. Das HPE-Bulletin vom 22. Oktober ordnet sie einer Authentifizierungsumgehung im PAPI-Protokoll von AOS-10 mit einem CVSS-v3.1-Score von 10,0 zu. Der NVD-Eintrag beschreibt dagegen eine SQL-Injection in code-projects Simple Inventory System 1.0 mit einem CVSS-v3.1-Score von 7,3. Die Produktbeschreibungen und Bewertungen müssen getrennt bleiben. Für das ArubaOS-Problem nennt das HPE-Bulletin die betroffenen Versionen und die Abhilfemaßnahmen.
Zugriffsbeschränkungen für die Verwaltung ergänzen die Patch-Empfehlungen
Die Schutzmaßnahmen von HPE konzentrieren sich auf die Kontrolle des Zugriffs auf die CLI und die webbasierten Verwaltungsoberflächen. Wie BleepingComputer zitiert, empfiehlt das Unternehmen ein dediziertes Layer-2-Segment bzw. VLAN und/oder Firewall-Richtlinien ab Layer 3 aufwärts, zusammen mit Accounting-Kontrollen, die Benutzeraktivitäten und Ressourcennutzung nachverfolgen und protokollieren.
Betroffene Versionen und korrigierte Releases
HPE empfiehlt die folgenden korrigierten oder neueren Versionen im jeweiligen Release-Zweig:
| Release-Zweig | Betroffen bis | Aktualisieren auf |
|---|---|---|
| AOS-10.8.x.x | 10.8.1.1 | 10.8.1.2 |
| AOS-10.7.x.x | 10.7.2.6 | 10.7.2.7 |
| AOS-10.4.x.x | 10.4.1.13 | 10.4.1.14 |
| AOS-8.13.x.x | 8.13.3.0 | 8.13.3.1 |
| AOS-8.10.x.x | 8.10.0.23 | 8.10.0.24 |
HPE geht davon aus, dass Versionen nach Ende der Wartung betroffen sind, sofern nicht anders angegeben. Für Versionen nach Ende des Supports hat HPE die Gefährdung nicht bewertet und betrachtet sie als potenziell betroffen; Kunden sollten auf ein unterstütztes Release wechseln.
BleepingComputer berichtete, HPE habe weder Hinweise auf Ausnutzung in freier Wildbahn noch öffentlich verfügbaren Proof-of-Concept-Exploit-Code gefunden. Die zitierte Erklärung von HPE gilt ausdrücklich nur bis zum Veröffentlichungsdatum der Warnmeldung: „Bis zum Veröffentlichungsdatum dieser Warnmeldung sind HPE Networking keine öffentlichen Diskussionen und kein Exploit-Code bekannt, die auf die aufgeführten Schwachstellen abzielen.“
