Hewlett Packard Enterprise ha publicado actualizaciones que corrigen 72 vulnerabilidades de ArubaOS. Ocho de ellas, descritas como de gravedad máxima, están relacionadas con omisiones de autenticación y ejecución de código, según el informe de BleepingComputer del 23 de octubre de 2026. HPE insta a los clientes a aplicar los parches cuanto antes y a limitar el acceso a las interfaces de gestión.
Las ocho vulnerabilidades afectan a AOS-8 y AOS-10 y están clasificadas como explotables de forma remota, con baja complejidad, sin privilegios previos ni interacción del usuario. Sin embargo, para CVE-2026-79844 en AOS-10 y CVE-2026-79846 en AOS-8, HPE indica que la ejecución de comandos requiere determinadas condiciones fuera del control del atacante; el boletín no especifica esas condiciones.
ArubaOS, también conocido como AOS, es el sistema que ejecuta la infraestructura inalámbrica empresarial de Aruba Networking, incluidos los controladores de movilidad (Mobility Conductor), los puntos de acceso, los controladores y las pasarelas.
Las vulnerabilidades abarcan AOS-8 y AOS-10
En AOS-8, el informe enumera cuatro problemas de gravedad máxima. CVE-2026-79846 permite la inyección de comandos sin autenticación, mientras que CVE-2026-79848 y CVE-2026-79849 implican inyección SQL sin autenticación que conduce a la ejecución remota de código. La omisión de autenticación que lleva a la ejecución remota de código figura en CVE-2026-79850.
En AOS-10, la omisión de autenticación que conduce a la ejecución remota de código se identifica como CVE-2026-79844. Otras dos entradas, CVE-2026-79847 y CVE-2026-79851, describen desbordamientos de búfer que permiten la ejecución remota de código sin autenticación.
Existe un conflicto real de identificación en CVE-2026-79845. El boletín de HPE del 22 de octubre lo asigna a una omisión de autenticación en el protocolo PAPI de AOS-10, con una puntuación CVSS v3.1 de 10,0. El registro NVD describe, en cambio, una inyección SQL en Simple Inventory System 1.0 de code-projects, con una puntuación CVSS v3.1 de 7,3. Las descripciones de los productos y sus puntuaciones deben mantenerse separadas. Para el problema de ArubaOS, el boletín de HPE indica las versiones afectadas y las medidas correctivas.
Las restricciones de acceso a la gestión acompañan a las recomendaciones de parcheo
Las recomendaciones de mitigación de HPE se centran en controlar el acceso a las interfaces de gestión por CLI y web. Según cita BleepingComputer, la compañía recomienda un segmento dedicado de capa 2 o VLAN, y/o políticas de cortafuegos en la capa 3 y superiores, junto con controles de contabilidad que registren y hagan un seguimiento de las actividades de los usuarios y del uso de recursos.
Versiones afectadas y actualizaciones correctivas
HPE recomienda las siguientes versiones corregidas o posteriores, cada una en su rama correspondiente:
| Rama de versiones | Afectada hasta | Actualizar a |
|---|---|---|
| AOS-10.8.x.x | 10.8.1.1 | 10.8.1.2 |
| AOS-10.7.x.x | 10.7.2.6 | 10.7.2.7 |
| AOS-10.4.x.x | 10.4.1.13 | 10.4.1.14 |
| AOS-8.13.x.x | 8.13.3.0 | 8.13.3.1 |
| AOS-8.10.x.x | 8.10.0.23 | 8.10.0.24 |
HPE considera afectadas las versiones fuera de mantenimiento, salvo indicación contraria. No ha evaluado la exposición de las versiones fuera de soporte y las considera potencialmente afectadas; los clientes deberían pasar a una versión con soporte.
BleepingComputer informó de que HPE no había encontrado evidencia de explotación en la naturaleza ni código de prueba de concepto disponible públicamente. La declaración de HPE, recogida por BleepingComputer, se limitaba a la fecha de publicación del aviso: «HPE Networking no tiene conocimiento de ninguna discusión pública ni de código de explotación que apunte a las vulnerabilidades listadas a fecha de publicación de este aviso».
