A HPE publicou, em 22 de outubro de 2026, o boletim HPESBNW05162, revisão 1, com status final e severidade crítica. O documento corrige 72 vulnerabilidades em AOS-8 e AOS-10 de Mobility Conductors, Mobility Controllers, gateways e access points wireless. Trinta e três falhas são críticas. Oito têm CVSS 3.1 de 10.0, mas não são o mesmo defeito nem execução remota de código incondicional.
Duas dessas notas máximas dependem de pré-condições que a HPE não divulgou. O desvio no protocolo PAPI, outra falha de nota 10.0, não é descrito como execução de código. O registro público de CVE-2026-79845 também não corresponde ao problema da Aruba.
O que o HPESBNW05162 corrige
O advisory cobre múltiplas vulnerabilidades nos sistemas wireless AOS-8 e AOS-10 para Mobility Conductors, controllers, gateways e access points. A descrição abaixo segue a cópia assinada publicada e atualizada em 22 de outubro de 2026.
A contagem fecha em 72 identificadores:
- 33 críticas, de CVE-2026-79844 a CVE-2026-79876
- 31 altas, de CVE-2026-79877 a CVE-2026-79895, além de CVE-2026-79955, CVE-2026-79956 e de CVE-2026-95704 a CVE-2026-95713
- sete médias, de CVE-2026-95714 a CVE-2026-95720
- uma baixa, CVE-2026-95721
A SecurityWeek, ao noticiar o pacote, indicou oito falhas de severidade média. O texto assinado lista sete médias e uma baixa. A HPE atribui a descoberta, em geral, à pesquisa interna da HPE Networking, com créditos pontuais de bug bounty em blocos específicos.
Este advisory não cobre AOS-CX, Instant On, ClearPass, EdgeConnect, Fabric Composer nem OneView. Produto ou versão de software HPE Networking ausente da lista não é afetado por este boletim.
Produtos e versões afetadas
Entram no escopo, salvo nota específica na seção Details:
- Mobility Conductors
- Mobility Controllers
- Mobility Gateways gerenciados pela HPE Networking Central
- access points AOS-10, identificados como AOS-AP
- Instant Access Points AOS-8, identificados como AOS-IAP
O boletim não lista modelos de hardware. A exposição se define pela versão de software e pelo papel do equipamento, não pelo nome comercial da plataforma.
- AOS-10.8.x.x: vulnerável até 10.8.1.1; corrigido em 10.8.1.2 e posteriores
- AOS-10.7.x.x: vulnerável até 10.7.2.6; corrigido em 10.7.2.7 e posteriores
- AOS-10.4.x.x: vulnerável até 10.4.1.13; corrigido em 10.4.1.14 e posteriores
- AOS-8.13.x.x: vulnerável até 8.13.3.0; corrigido em 8.13.3.1 e posteriores
- AOS-8.10.x.x: vulnerável até 8.10.0.23; corrigido em 8.10.0.24 e posteriores
Versões em End of Maintenance são presumidas afetadas e ficam fora do advisory. Versões em End of Support não foram avaliadas. A orientação é tratá-las como potencialmente impactadas e migrar para um release suportado. Ramos que não aparecem nessa matriz não devem ser incluídos por extrapolação de cobertura secundária.
A ficha do NVD de CVE-2026-79844, publicada em 22 de outubro de 2026 com a HPE como CNA, confirma CVSS 10.0 e restringe o defeito ao AOS-10, de 10.8.0.0 a 10.8.1.1, de 10.7.0.0 a 10.7.2.6 e de 10.4.0.0 a 10.4.1.13. Para as demais falhas, versão e impacto ficam na seção Details do HPESBNW05162.
Gravidade e impacto
As oito falhas de nota máxima compartilham o vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H. O acesso é de rede, a complexidade é baixa, não há privilégio prévio nem interação, o escopo é alterado e o impacto é alto em confidencialidade e integridade. A disponibilidade não é a mesma nas oito. Por isso elas não podem ser lidas como execução remota de código idêntica.
As oito falhas de CVSS 10.0
- CVE-2026-79844, no AOS-10, é desvio de autenticação que permite comandos arbitrários no host se pré-condições fora do controle do atacante forem cumpridas. A HPE não publicou essas pré-condições. A disponibilidade está marcada como nenhuma.
- CVE-2026-79845, também no AOS-10, é desvio no PAPI. O boletim descreve o PAPI como o protocolo de gestão de access points da Aruba. O efeito informado é acesso administrativo, alteração de configuração e acesso ou manipulação de dados sensíveis. Não há descrição de execução de código.
- CVE-2026-79846, no AOS-8, é injeção de comando não autenticada, outra vez condicionada a pré-condições não divulgadas e fora do controle do atacante. A disponibilidade é alta.
- CVE-2026-79847, no AOS-10, é estouro de buffer não autenticado por pacotes especialmente construídos, com código arbitrário como usuário privilegiado.
- CVE-2026-79848 e CVE-2026-79849, no AOS-8, são injeções de SQL não autenticadas que levam a comandos arbitrários no sistema operacional. O crédito inclui moonv, além da pesquisa interna.
- CVE-2026-79850, no AOS-8, é desvio de autenticação com comandos arbitrários como root. O texto descreve comprometimento completo, embora o vetor marque disponibilidade nenhuma.
- CVE-2026-79851, no AOS-10, é estouro de buffer não autenticado, com código arbitrário privilegiado e comprometimento completo.
Colisão em CVE-2026-79845
A ficha pública de CVE-2026-79845 não serve para avaliar a Aruba. Publicada em 25 de agosto de 2026, com CNA VulDB, descreve injeção de SQL no code-projects Simple Inventory System 1.0. NVD e o registro do CVE ainda mostram esse outro produto. Para o desvio de PAPI, a referência é o HPESBNW05162.
Críticas abaixo de 10.0 e o restante
Há outro bloco crítico, de rede e sem autenticação, com CVSS 9.8. CVE-2026-79852, creditada a moonv, é injeção de SQL na interface web de gestão e leva a execução de código. CVE-2026-79853, também de moonv, é divulgação de informação sensível no AOS-10 que pode levar a execução de código. CVE-2026-79854 é injeção de SQL não autenticada no AOS-10, com execução de código. CVE-2026-79855 é desvio no daemon SSH do AOS-8, com privilégio administrativo e comprometimento completo.
No PAPI do AOS-8, os efeitos também se separam. CVE-2026-79856 leva a desvio e acesso administrativo. CVE-2026-79857 executa código privilegiado a partir de pacotes na porta UDP afetada. CVE-2026-79858 permite ler ou alterar a base e interromper o serviço. CVE-2026-79859 e CVE-2026-79860 resultam em execução privilegiada. Somente CVE-2026-79860 nomeia a porta UDP 8211. No AOS-10, CVE-2026-79861 é injeção de comando via pacotes PAPI, com execução privilegiada. A UDP 8211 reaparece na alta CVE-2026-79878 e não está documentada para os outros defeitos de PAPI.
Críticas de vetor adjacente ficam, em geral, em 9.6 e seguem não autenticadas. CVE-2026-79862 e CVE-2026-79863 são estouros de buffer em AOS-10 ou AOS-8, com crédito também a zzcentury. CVE-2026-79866 é path traversal no PAPI do AOS-8, com leitura, alteração e exclusão de arquivos. CVE-2026-79872 tem nota 9.4, vetor de rede, e é estouro de buffer não autenticado nos dois ramos, creditado a m0omo0d. CVE-2026-79873, CVE-2026-79874 e CVE-2026-79875 são desvios adjacentes para acesso administrativo, nota 9.3. CVE-2026-79876, a última crítica, é divulgação no processamento de frames Wi-Fi do AOS-10, adjacente, também 9.3.
CVE-2026-79871 está marcada como crítica, 9.6, com vetor adjacente, mas a descrição fala em atacante remoto. O texto assinado não resolve a divergência. Não há base para ajustar score ou vetor por inferência.
Nas 31 altas há falhas não autenticadas, de rede e adjacentes, com execução de código, injeção de comando, escrita de arquivo, negação de serviço e divulgação, várias via PAPI. O boletim não informa quantas dispensam autenticação. CVE-2026-79877, nota 8.8, é execução adjacente não autenticada no AOS-10. CVE-2026-79880, nota 8.7 e crédito de m0omo0d, é SSRF autenticado de alto privilégio para execução de código no AOS-8. CVE-2026-79881 permanece em 8.5, com complexidade alta e interação do usuário, e não deve ser promovida a crítica. Na interface web do AOS-8, CVE-2026-79887 e CVE-2026-79888, de Diego Gomez e David Kierznowski, e CVE-2026-79889, pelo título do bloco, aparecem sem autenticação, com nota 8.1 e complexidade alta.
As médias vão de 6.8 a 4.4. CVE-2026-95715 exige acesso físico e é creditada a PinkDraconian. CVE-2026-95717 é XSS armazenado, nota 5.5, creditado a LIUPENG. CVE-2026-95719, nota 4.9, permite apagar arquivos e impedir o reboot sem intervenção manual. CVE-2026-95720, nota 4.4, é falha local com o mesmo efeito sobre o reboot. A baixa, CVE-2026-95721, tem nota 3.3 e é corrupção de memória local, autenticada e de baixo privilégio.
Condições de exploração
Nas falhas de nota 10.0 o vetor é remoto e não exige credencial nem interação. Isso não as torna exploráveis do mesmo modo. CVE-2026-79844 e CVE-2026-79846 dependem de pré-condições fora do controle do atacante, e a HPE não as publicou. Sem esse detalhe, não é possível classificar o obstáculo como raro ou apenas omitido.
Parte relevante do conjunto crítico e alto está no PAPI, na interface web de gestão ou no daemon SSH do AOS-8. O alcance até esses serviços altera o risco prático. O boletim não publica prova de conceito nem indicadores de comprometimento.
Em 22 de outubro de 2026, a HPE informa que não tem conhecimento de discussão pública nem de código de exploração. Recomenda o patch pela complexidade, pela amplitude e pelo impacto. Essa declaração não comprova ausência de exploração.
Mitigação e correção
Não há contorno que substitua a atualização. Os builds corrigidos, ou posteriores no mesmo ramo, são 10.8.1.2, 10.7.2.7, 10.4.1.14, 8.13.3.1 e 8.10.0.24. O download fica no portal de suporte da HPE Networking. Não use espelho de terceiros para fechar essa janela.
A mitigação oficial pede restringir a CLI e as interfaces web de gestão a um segmento ou VLAN de camada 2 e/ou a firewall na camada 3 ou acima, com contabilização de acessos. O texto não afirma que essa restrição cubra o PAPI nem o daemon SSH. Isolar apenas a gestão web e a linha de comando reduz uma parte da superfície e não esgota o risco descrito.
Atualizar Mobility Conductor, controladora e access point é mudança de produção e pode interromper o serviço wireless. O boletim não descreve rollback. Antes da janela, preserve a configuração, defina o critério de sucesso e mantenha um plano de retorno próprio de cada plataforma. Um procedimento válido em um ramo não deve ser assumido no outro.
Novos reportes podem ser enviados a [email protected].
Validação da exposição
A checagem recomendada é de versão e de alcance, não de tentativa de ataque.
- Confirme se o nó executa AOS-8 ou AOS-10 em um dos papéis listados.
- Compare a versão instalada com a matriz do boletim. Abaixo da versão corrigida, o ramo está vulnerável, salvo nota contrária em Details.
- Trate fim de manutenção como presumidamente afetado e fim de suporte como potencialmente afetado, com migração para release suportado.
- Mapeie quem alcança CLI, interface web, SSH e PAPI. Associe a UDP 8211 somente a CVE-2026-79860 e CVE-2026-79878.
- Não use a ficha pública de CVE-2026-79845 para decidir se o ambiente Aruba está afetado. Para CVE-2026-79844, a ficha do NVD confirma o recorte de AOS-10.
- Não estenda este advisory a AOS-CX, Instant On, ClearPass, EdgeConnect, Fabric Composer ou OneView. Esses produtos dependem de boletins próprios.
O passo que reduz o risco descrito é o patch, na janela combinada com a operação. A restrição das interfaces de gestão ajuda na contenção enquanto a atualização não fecha, mas não é um estado final aceitável onde o impacto passa por PAPI e SSH.
Referências
- HPESBNW05162, cópia assinada
- Página oficial do advisory
- NVD, CVE-2026-79844
- NVD, CVE-2026-79845, registro que não descreve a Aruba
- Registro CVE de CVE-2026-79845
- Portal de suporte da HPE Networking
- Cobertura da SecurityWeek
About The Author
