HPE закрыла 8 критических уязвимостей в ArubaOS

ArubaOS, также известная как AOS, используется в корпоративной беспроводной инфраструктуре Aruba Networking. На этой системе работают точки доступа, контроллеры, шлюзы и Mobility Conductor. По оценке HPE, атаки на эти уязвимости не требуют специальных прав и отличаются низкой сложностью.

Среди восьми уязвимостей максимальной критичности — удалённое выполнение кода, обход аутентификации, внедрение команд и переполнение буфера. Две ошибки связаны с SQL-инъекциями:

• CVE-2026-79844: обход аутентификации с последующим выполнением кода в AOS-10.
• CVE-2026-79845: обход аутентификации в протоколе PAPI для AOS-10.
• CVE-2026-79846: внедрение команд без аутентификации в AOS-8.
• CVE-2026-79847: переполнение буфера в AOS-10, приводящее к выполнению кода.
• CVE-2026-79848 и CVE-2026-79849: SQL-инъекции без аутентификации в AOS-8 с выполнением кода.
• CVE-2026-79850: обход аутентификации с выполнением кода в AOS-8.
• CVE-2026-79851: переполнение буфера без аутентификации в AOS-10 с выполнением кода.

HPE рекомендует как можно скорее установить обновления. Компания также советует ограничить доступ к интерфейсам управления с помощью выделенного сегмента сети или политик межсетевого экрана, а действия пользователей отслеживать и регистрировать. По данным HPE, на момент публикации уведомления общедоступных эксплойтов для этих уязвимостей и свидетельств их использования в атаках не было.

Ранее HPE устранила восемь уязвимостей StoreOnce в июне 2025 года, а позднее сообщила о жёстко заданных учётных данных в точках доступа Aruba Instant On. В январе 2025 года CISA предупреждала об эксплуатации критической уязвимости HPE OneView.

В приложенном к материалу Blue Report 2026 говорится, что после получения действительных учётных данных блокируются 37% действий атакующих. Отчёт основан на 338 млн симуляций в производственных средах клиентов.