Hewlett Packard Enterprise ha pubblicato aggiornamenti per 72 vulnerabilità di ArubaOS, otto delle quali descritte come falle di bypass dell'autenticazione ed esecuzione di codice con gravità massima, secondo il rapporto di BleepingComputer del 23 ottobre 2026. HPE ha esortato i clienti ad applicare tempestivamente le patch e a limitare l'accesso alle interfacce di gestione.
Le otto falle interessano AOS-8 e AOS-10 e sono classificate come sfruttabili da remoto con bassa complessità, senza privilegi preesistenti né interazione dell'utente. Per CVE-2026-79844 in AOS-10 e CVE-2026-79846 in AOS-8, HPE precisa però che l'esecuzione di comandi richiede determinate condizioni al di fuori del controllo dell'aggressore; il bollettino non specifica tali condizioni.
ArubaOS, noto anche come AOS, gestisce l'infrastruttura wireless aziendale di Aruba Networking, inclusi mobility conductor, access point, controller e gateway.
Le falle riguardano AOS-8 e AOS-10
Per AOS-8, il rapporto elenca quattro problemi con gravità massima. CVE-2026-79846 consente command injection senza autenticazione, mentre CVE-2026-79848 e CVE-2026-79849 riguardano SQL injection senza autenticazione che porta all'esecuzione di codice remoto. Il bypass dell'autenticazione che porta all'esecuzione di codice remoto è indicato in CVE-2026-79850.
Per AOS-10, il bypass dell'autenticazione che porta all'esecuzione di codice remoto è identificato in CVE-2026-79844. Altri due casi, CVE-2026-79847 e CVE-2026-79851, descrivono buffer overflow che consentono l'esecuzione di codice remoto senza autenticazione.
Un conflitto reale nell'identificativo riguarda CVE-2026-79845. Il bollettino HPE del 22 ottobre lo assegna a un bypass dell'autenticazione nel protocollo PAPI di AOS-10, con punteggio CVSS v3.1 di 10,0. Il record NVD descrive invece una SQL injection in Simple Inventory System 1.0 di code-projects, con punteggio CVSS v3.1 di 7,3. Le descrizioni dei prodotti e i relativi punteggi vanno mantenuti distinti. Per il problema di ArubaOS, il bollettino HPE indica le versioni interessate e le misure correttive.
Le restrizioni sull'accesso alla gestione accompagnano il consiglio sulle patch
Le indicazioni di mitigazione di HPE si concentrano sul controllo dell'accesso alla CLI e alle interfacce web di gestione. Come riportato da BleepingComputer, l'azienda raccomanda un segmento di layer 2/VLAN dedicato e/o policy firewall dal layer 3 in su, insieme a controlli di accounting che tracciano e registrano le attività degli utenti e l'utilizzo delle risorse.
Versioni interessate e aggiornamenti correttivi
HPE raccomanda le seguenti versioni corrette o successive, ciascuna nel relativo ramo di release:
| Ramo di release | Interessato fino a | Aggiornare a |
|---|---|---|
| AOS-10.8.x.x | 10.8.1.1 | 10.8.1.2 |
| AOS-10.7.x.x | 10.7.2.6 | 10.7.2.7 |
| AOS-10.4.x.x | 10.4.1.13 | 10.4.1.14 |
| AOS-8.13.x.x | 8.13.3.0 | 8.13.3.1 |
| AOS-8.10.x.x | 8.10.0.23 | 8.10.0.24 |
HPE presume interessate le versioni oltre la fine della manutenzione, salvo indicazione contraria. Per quelle oltre la fine del supporto non ha valutato l'esposizione e le considera potenzialmente coinvolte; i clienti dovrebbero passare a una release supportata.
BleepingComputer ha riferito che HPE non ha trovato prove di sfruttamento in circolazione né codice proof-of-concept pubblicamente disponibile. La dichiarazione citata da HPE era circoscritta alla data di pubblicazione dell'avviso: «HPE Networking non è a conoscenza di alcuna discussione pubblica o codice exploit che prenda di mira le vulnerabilità elencate alla data di rilascio di questo avviso».
