HPE schließt 72 Lücken in ArubaOS, acht mit CVSS 10.0

HPE hat am 22. Oktober 2026 ein Sammel-Bulletin für die WLAN-Betriebssysteme AOS-8 und AOS-10 veröffentlicht. Es schließt 72 Schwachstellen, acht davon tragen den CVSS-Höchstwert 10.0 und erlauben laut HPE einem nicht angemeldeten Angreifer aus dem Netz die Ausführung beliebiger Befehle oder die Umgehung der Anmeldung. Betroffen sind Mobility Conductors, Mobility Controller, von HPE Networking Central verwaltete Gateways sowie AOS-10- und AOS-8-Instant-Access-Points.

Nicht betroffen sind laut Bulletin alle anderen HPE-Networking-Produkte, etwa Switches mit AOS-CX. Exploits oder Angriffe sind bisher nicht bekannt. Wegen der Zahl und Schwere der Lücken gehört das Update trotzdem nicht in das nächste reguläre Wartungsfenster: Admins sollten heute den Versionsstand prüfen und die Aktualisierung zeitnah einplanen, bis dahin die Managementzugänge abschotten.

Was ist passiert?

Das Bulletin HPESBNW05162 vom 22. Oktober 2026 listet 72 CVE-Nummern. Die meisten Lücken hat HPE nach eigenen Angaben intern gefunden, einzelne kamen über das Bug-Bounty-Programm. Die acht Schwachstellen mit CVSS 10.0 sind:

• CVE-2026-79844: Umgehung der Authentifizierung mit Codeausführung in AOS-10
• CVE-2026-79845: Umgehung der Authentifizierung im PAPI-Protokoll von AOS-10, Angreifer können Administratorzugriff erlangen und Konfigurationen ändern
• CVE-2026-79846: Command Injection ohne Anmeldung in AOS-8
• CVE-2026-79847 und CVE-2026-79851: Pufferüberläufe ohne Anmeldung mit Codeausführung in AOS-10
• CVE-2026-79848 und CVE-2026-79849: SQL-Injection ohne Anmeldung mit Codeausführung in AOS-8
• CVE-2026-79850: Umgehung der Authentifizierung mit Root-Befehlsausführung in AOS-8

Darüber hinaus stuft HPE weitere Lücken als kritisch ein, etwa eine SQL-Injection in der Weboberfläche mit CVSS 9.8 (CVE-2026-79852). Der Rest verteilt sich auf hohe, mittlere und niedrige Einstufungen, darunter Cross-Site-Scripting und Speicherfehler.

Wer ist betroffen?

Laut HPE sind folgende Versionsstände verwundbar:

• AOS-10.8.x.x bis einschließlich 10.8.1.1, behoben ab 10.8.1.2
• AOS-10.7.x.x bis einschließlich 10.7.2.6, behoben ab 10.7.2.7
• AOS-10.4.x.x bis einschließlich 10.4.1.13, behoben ab 10.4.1.14
• AOS-8.13.x.x bis einschließlich 8.13.3.0, behoben ab 8.13.3.1
• AOS-8.10.x.x bis einschließlich 8.10.0.23, behoben ab 8.10.0.24

HPE betont, dass die Hardwareliste im Bulletin nur beispielhaft ist: Jede Hardware und jede virtuelle Maschine, auf der eine betroffene Version läuft, gilt als verwundbar. Versionen jenseits von End of Maintenance oder End of Support bewertet HPE nicht, sie sind als potenziell betroffen anzusehen.

Wie kritisch ist das?

Technisch handelt es sich um Remote Code Execution und Anmeldeumgehung ohne Benutzerinteraktion bei geringer Angriffskomplexität. Ein erfolgreicher Angriff auf einen Controller oder Conductor gibt dem Angreifer Kontrolle über die zentrale WLAN-Steuerung und damit über Konfiguration, Segmentierung und den Datenverkehr der Funknetze. Einige Lücken setzen laut HPE Bedingungen voraus, die der Angreifer nicht selbst beeinflussen kann.

Gesichert ist: Patches liegen vor, HPE kennt keinen öffentlichen Exploit und keine öffentliche Diskussion der Lücken. Offen ist, wie schnell sich das ändert. Bei Netzwerkgeräten dieser Klasse liegt zwischen Patch und ersten Angriffen erfahrungsgemäß oft wenig Zeit. Am stärksten gefährdet sind Installationen, deren Management-Oberfläche oder CLI aus Benutzer- oder Gastnetzen oder gar aus dem Internet erreichbar ist.

Was sollten Admins jetzt tun?

• Alle Conductors, Controller, Gateways und Instant-Access-Points inventarisieren und die laufende AOS-Version mit den oben genannten Grenzen abgleichen.
• Auf die jeweils korrigierte Version aus dem HPE Networking Support Portal aktualisieren, zuerst Systeme mit erreichbaren Managementzugängen.
• Bis zum Update CLI und Weboberfläche auf ein eigenes Management-VLAN beschränken und per Firewall auf Admin-Netze filtern, wie HPE es als Workaround empfiehlt.
• Accounting und Protokollierung der Administratorzugriffe aktivieren und Logs auf unbekannte Anmeldungen, Konfigurationsänderungen und neue Konten prüfen.
• Geräte mit Versionen außerhalb des Supports identifizieren und auf einen unterstützten Release-Zweig heben.
• Vor dem Update die aktuelle Konfiguration sichern, damit ein Rückweg möglich bleibt.

Einordnung für Unternehmen

Aruba-WLAN ist auch im Mittelstand verbreitet, oft betreut von einem Dienstleister. Unternehmen sollten deshalb klären, wer für die Controller zuständig ist und ob das Update dort bereits geplant ist. Wer Instant-Access-Points ohne zentralen Controller betreibt, ist ebenfalls betroffen. Die eigentliche Lehre geht über diesen Patch hinaus: Managementoberflächen von Netzwerkgeräten gehören nicht in Benutzer- oder Gastnetze. Ein sauber getrenntes Management-Netz verkleinert die Angriffsfläche auch bei der nächsten Lücke deutlich.

Passende Anleitungen auf S-EDV

• Netzwerksegmentierung mit VLANs und Firewall-Regeln im KMU: So lassen sich Managementzugänge in ein eigenes Netz verlagern.
• JumpServer als Bastion-Host: Administrative Zugriffe gebündelt und protokolliert führen.
• UniFi: 25 Schwachstellen mit CVSS 10: Ein vergleichbarer Fall bei einer anderen WLAN-Plattform.

Quellen

• HPE Security Bulletin HPESBNW05162 rev.1 zu AOS-10 und AOS-8 (22.10.2026)
• BleepingComputer: HPE patcht acht AOS-Lücken mit Höchstwertung (23.10.2026)
• HPE Networking Support Portal (Downloads der korrigierten Versionen)