Hewlett Packard Enterprise a publié des mises à jour corrigeant 72 vulnérabilités d'ArubaOS, dont huit décrites comme des failles de contournement d'authentification et d'exécution de code de gravité maximale, selon le rapport de BleepingComputer daté du 23 octobre 2026. HPE a exhorté ses clients à appliquer rapidement les correctifs et à limiter l'accès aux interfaces de gestion.
Les huit failles affectent AOS-8 et AOS-10 et sont classées comme exploitables à distance, avec une faible complexité, sans privilèges préexistants ni interaction de l'utilisateur. Toutefois, pour CVE-2026-79844 dans AOS-10 et CVE-2026-79846 dans AOS-8, HPE précise que l'exécution de commandes exige certaines conditions indépendantes de la volonté de l'attaquant ; le bulletin ne détaille pas ces conditions.
ArubaOS, également appelé AOS, fait fonctionner l'infrastructure sans fil d'entreprise d'Aruba Networking, notamment les Mobility Conductors, les points d'accès, les contrôleurs et les passerelles.
Des failles touchant AOS-8 et AOS-10
Pour AOS-8, le rapport recense quatre problèmes de gravité maximale. CVE-2026-79846 permet une injection de commandes sans authentification, tandis que CVE-2026-79848 et CVE-2026-79849 concernent une injection SQL sans authentification pouvant mener à une exécution de code à distance. Un contournement d'authentification conduisant à une exécution de code à distance est répertorié sous CVE-2026-79850.
Pour AOS-10, un contournement d'authentification menant à une exécution de code à distance est identifié comme CVE-2026-79844. Deux autres entrées, CVE-2026-79847 et CVE-2026-79851, décrivent des dépassements de tampon permettant une exécution de code à distance sans authentification.
Un véritable conflit d'identifiant concerne CVE-2026-79845. Le bulletin HPE du 22 octobre l'attribue à un contournement d'authentification dans le protocole PAPI d'AOS-10, avec un score CVSS v3.1 de 10,0. L'enregistrement NVD décrit au contraire une injection SQL dans Simple Inventory System 1.0 de code-projects, avec un score CVSS v3.1 de 7,3. Ces descriptions de produits et leurs scores doivent rester distincts. Pour le problème ArubaOS, le bulletin HPE précise les versions affectées et les mesures correctives.
Les restrictions d'accès à l'administration accompagnent les recommandations de correctifs
Les mesures d'atténuation de HPE visent à contrôler l'accès aux interfaces de gestion CLI et web. Selon BleepingComputer, l'entreprise recommande un segment de couche 2 dédié, ou VLAN, et/ou des politiques de pare-feu aux couches 3 et supérieures, ainsi que des contrôles de traçabilité (accounting) permettant de suivre et de journaliser les activités des utilisateurs et l'utilisation des ressources.
Versions affectées et mises à jour correctives
HPE recommande les versions corrigées suivantes ou ultérieures, chacune dans sa branche respective :
| Branche | Affectée jusqu’à | Mettre à jour vers |
|---|---|---|
| AOS-10.8.x.x | 10.8.1.1 | 10.8.1.2 |
| AOS-10.7.x.x | 10.7.2.6 | 10.7.2.7 |
| AOS-10.4.x.x | 10.4.1.13 | 10.4.1.14 |
| AOS-8.13.x.x | 8.13.3.0 | 8.13.3.1 |
| AOS-8.10.x.x | 8.10.0.23 | 8.10.0.24 |
HPE présume que les versions en fin de maintenance sont affectées, sauf indication contraire. L'exposition des versions en fin de support n'a pas été évaluée et HPE les considère comme potentiellement touchées ; les clients devraient migrer vers une version prise en charge.
BleepingComputer rapporte que HPE n'a relevé aucune trace d'exploitation dans la nature ni de code de preuve de concept (PoC) accessible publiquement. La déclaration citée de HPE était limitée à la date de publication de l'avis : « HPE Networking n'a connaissance d'aucune discussion publique ni d'aucun code d'exploitation visant les vulnérabilités listées à la date de publication de cet avis. »
