HPE corrige 8 falhas CVSS 10 de RCE sem login no ArubaOS
A HPE publicou o aviso HPESBNW05162 em 22 de outubro de 2026, com correções para 72 vulnerabilidades no ArubaOS (AOS-8 e AOS-10), sistema que roda em Mobility Conductors, Controllers, Gateways e Access Points. Oito falhas de severidade máxima (CVE-2026-79844 a CVE-2026-79851) permitem execução remota de código sem login, por bypass de autenticação, injeção de comandos, injeção de SQL e buffer overflow. A HPE diz não conhecer código de exploração público; atualize para AOS-10 10.8.1.2, 10.7.2.7, 10.4.1.14 ou AOS-8 8.13.3.1, 8.10.0.24.
O que aconteceu
A HPE corrigiu 72 vulnerabilidades no ArubaOS, sistema que opera os equipamentos de rede sem fio da Aruba, como controllers, gateways e access points. Oito falhas de gravidade máxima permitem que um invasor assuma o equipamento sem senha, remotamente. As correções foram publicadas em 22 de outubro de 2026.
Por que importa
Esses equipamentos ficam no centro da rede corporativa: uma invasão sem login é caminho direto para a rede interna, segundo análise da fonte. Toda empresa com Mobility Conductors, Controllers, Gateways ou Access Points em AOS-8 ou AOS-10 está exposta, e releases de fim de manutenção são considerados afetados.
O que fazer
Atualizar imediatamente para AOS-10 10.8.1.2, 10.7.2.7, 10.4.1.14 ou AOS-8 8.13.3.1, 8.10.0.24. Até concluir, restringir o acesso de gestão (CLI, web e PAPI) a uma VLAN de gerência ou segmento protegido por firewall.
Para o time técnico
- CVE
- CVE-2026-79844, CVE-2026-79851
- Afetados
- HPE Aruba Networking ArubaOS (AOS-8 e AOS-10), sistema que roda em Mobility Conductors, Controllers, Gateways e Access Points · AOS-10.8.1.1, 10.7.2.6, 10.4.1.13, AOS-8.13.3.0, 8.10.0.23 e versões anteriores. Releases de fim de manutenção são considerados afetados.
- Exploração
- Sem exploração conhecida: a HPE afirma não ter conhecimento de código de exploração público ou de discussão sobre as falhas. Sem PoC relatada.
- Correção
- Versões corrigidas: AOS-10 10.8.1.2, 10.7.2.7, 10.4.1.14 e AOS-8 8.13.3.1, 8.10.0.24. Mitigação até o patch: restringir CLI, gestão web e PAPI a VLAN de gerência ou segmento controlado por firewall.
- Vetor
- ArubaOS (AOS-8 e AOS-10) em Mobility Conductors, Controllers, Gateways e Access Points. Falhas de bypass de autenticação, injeção de comandos, injeção de SQL e buffer overflow levam a RCE sem autenticação. Interfaces citadas para mitigação: CLI, gestão web e PAPI.
- Mais detalhes
- Aviso HPESBNW05162, publicado em 22 de outubro de 2026, corrige 72 vulnerabilidades no total. As 8 falhas de severidade máxima (CVSS 10.0) são CVE-2026-79844 a CVE-2026-79851. Relato divulgado pela conta DailyDarkWeb com base no aviso da HPE.
Linha do tempo
Primeiro relato: aviso do fornecedor corrige 72 falhas no ArubaOS, 8 delas de severidade máxima.
Fontes 1 fonte
- @DailyDarkWeb @DailyDarkWeb
