HPE corrige oito falhas críticas em AOS-8 e AOS-10 do Aruba
A HPE publicou em 22 de outubro de 2026 o aviso HPESBNW05162, que corrige oito CVEs de gravidade máxima nos sistemas operacionais sem fio Aruba AOS-8 e AOS-10. As falhas permitem execução remota de código sem autenticação, injeção de comandos e bypass de autenticação com acesso administrativo. Segundo a HPE, não há exploração conhecida nem exploit público; atualize para AOS-10.8.1.2, 10.7.2.7, 10.4.1.14, 8.13.3.1 ou 8.10.0.24.
O que aconteceu
A HPE emitiu em 22 de outubro de 2026 o aviso HPESBNW05162, que corrige oito falhas de gravidade máxima nos sistemas sem fio Aruba AOS-8 e AOS-10. Um atacante remoto, sem senha, pode executar comandos e obter controle administrativo de controladores, gateways e pontos de acesso. A HPE afirma não conhecer exploração em campo.
Por que importa
Falhas em equipamentos que operam o Wi-Fi corporativo podem permitir comprometimento total e queda da rede sem fio. As falhas não exigem credenciais, e releases em fim de manutenção não receberão correção.
O que fazer
Atualize para AOS-10.8.1.2, 10.7.2.7, 10.4.1.14, AOS-8.13.3.1 ou 8.10.0.24, conforme a linha usada. Até concluir, restrinja o gerenciamento CLI e web a VLAN dedicada protegida por firewall.
Para o time técnico
- CVE
- CVE-2026-79844, CVE-2026-79845, CVE-2026-79846, CVE-2026-79847, CVE-2026-79848, CVE-2026-79849, CVE-2026-79850, CVE-2026-79851
- Afetados
- HPE (Aruba Networking) AOS-8 e AOS-10: Mobility Conductors, Controllers, Gateways e Access Points · AOS-10: 10.8.1.1 e anteriores, 10.7.2.6 e anteriores, 10.4.1.13 e anteriores; AOS-8: 8.13.3.0 e anteriores, 8.10.0.23 e anteriores. Produtos: Mobility Conductors, Mobility Controllers, Mobility Gateways (geridos por HPE Central), AOS-10 Access Points e AOS-8 Instant Access Points. Releases em fim de manutenção são presumivelmente afetados e não recebem correção.
- Exploração
- Sem exploração relatada. A HPE afirma não conhecer discussão pública ou código de exploit até a data do aviso (2026-10-22); SecurityWeek reproduz em 27/10/2026 que não há exploração em campo. Descobertas por pesquisa de segurança interna da HPE Networking.
- Correção
- Atualizar para AOS-10.8.1.2 ou superior, 10.7.2.7 ou superior, 10.4.1.14 ou superior, 8.13.3.1 ou superior, 8.10.0.24 ou superior, no HPE Networking Support Portal. Mitigação da HPE: restringir interfaces de gerência CLI e web a VLAN dedicada de camada 2 e/ou firewall em camada 3 ou superior, com controles de contabilização e logs.
- Vetor
- Bypass de autenticação na interface de gerência (CVE-2026-79844) e no protocolo PAPI (CVE-2026-79845), injeção de comandos sem autenticação em AOS-8 (CVE-2026-79846) e buffer overflow em AOS-10 via pacotes especialmente criados (CVE-2026-79847). Atacante remoto sem autenticação; CVSS v3.1 10.0, vetor AV:N/AC:L/PR:N. CVEs 79844 e 79846 dependem de precondições fora do controle do atacante.
- Mais detalhes
- Aviso HPESBNW05162, status FINAL, revisão 1, severidade Critical, publicado em 2026-10-22. SecurityWeek reporta que as atualizações cobrem 72 vulnerabilidades no total, incluindo 33 críticas, 31 altas, 8 médias e 1 baixa. Hardware, VMs e soluções de mobilidade compatíveis com os sistemas afetados também são afetados. BleepingComputer e CVE.org também registram o caso.
Linha do tempo
SecurityWeek destaca que as oito falhas de gravidade máxima nos produtos de rede da HPE permitem execução remota de código e bypass de autenticação.
Incidente aberto.
Fontes 4 fontes
- HPESBNW05162: Multiple Vulnerabilities in HPE Networking Wireless Operating Systems (AOS-8 and AOS-10) HPE
- HPESBNW05162 (CSAF text version) HPE
- CVE-2026-79844 CVE.org
- HPE patches eight max severity RCE and auth bypass AOS flaws BleepingComputer
- HPE Patches Dozens of Critical Flaws in Networking Products SecurityWeek
