HPE выпустила обновления для ArubaOS, закрывающие 72 уязвимости ArubaOS; восемь из них получили максимальную оценку серьёзности. В этой восьмёрке — обход аутентификации, SQL-инъекции, переполнения буфера и удалённое выполнение кода без учётной записи. Для компаний, использующих Aruba в корпоративной Wi‑Fi-инфраструктуре, это повод не откладывать окно обслуживания: под ударом оказываются не пользовательские приложения, а управляющий слой сети.
Патчи затрагивают ArubaOS 8 и ArubaOS 10 — платформы, на которых работают контроллеры, точки доступа, шлюзы и Mobility Conductor в Aruba Networking. Как сообщает BleepingComputer, все восемь критических проблем могут быть атакованы удалённо, с низкой сложностью эксплуатации и без участия пользователя. Иными словами, фишинговое письмо здесь не нужно: при доступности уязвимого интерфейса злоумышленнику достаточно обратиться к самому устройству.
В ArubaOS 10 HPE исправила CVE-2026-79844 — обход аутентификации, способный привести к выполнению кода, CVE-2026-79845 в протоколе PAPI, а также два сценария неаутентифицированного переполнения буфера: CVE-2026-79847 и CVE-2026-79851. В ArubaOS 8 закрыты неаутентифицированная командная инъекция CVE-2026-79846, две SQL-инъекции с возможным переходом к RCE — CVE-2026-79848 и CVE-2026-79849 — и CVE-2026-79850, сочетающая обход аутентификации с удалённым выполнением кода.
Такой набор уязвимостей опасен не только из-за максимальной оценки. Сетевое оборудование часто стоит в сегменте, которому доверяют: оно видит клиентов, участвует в маршрутизации и аутентификации, а его админские интерфейсы нередко переживают несколько реорганизаций сети. Захват контроллера или шлюза может дать атакующему точку опоры для дальнейшего перемещения по инфраструктуре, перехвата служебного трафика либо нарушения работы беспроводного доступа. Для офиса это неприятный инцидент, для склада, клиники или сети филиалов — ещё и операционный риск.
HPE призвала клиентов установить исправления как можно скорее и отдельно напомнила о базовой, но часто игнорируемой защите: CLI и веб-интерфейс управления следует вынести в выделенный L2-сегмент или VLAN, а на третьем уровне и выше ограничить доступ правилами межсетевого экрана. Компания также рекомендует включить средства учёта и журналирования действий пользователей и потребления ресурсов. Это не заменяет обновление, но уменьшает число путей к интерфейсам, пока патчи проходят тестирование и раскатку.
Публичных proof-of-concept для этих ошибок HPE на дату выпуска бюллетеня не обнаружила; данных об атаках в реальной среде также нет. Расслабляться по этому поводу не стоит. Отсутствие опубликованного эксплойта обычно означает лишь короткий промежуток, в который защитники могут действовать первыми. После раскрытия CVE исследователи и злоумышленники получают одинаковую отправную точку, а устройства с открытыми интерфейсами управления легко находятся при неудачной сегментации.
Для HPE это не первый заметный эпизод вокруг сетевых и инфраструктурных продуктов. В июне 2025 года компания устранила восемь критических уязвимостей StoreOnce, связанных с обходом аутентификации и RCE. Месяцем позже HPE предупреждала о жёстко заданных учётных данных в Aruba Instant On Access Points. В январе 2025-го американское агентство CISA добавило в каталог известных эксплуатируемых уязвимостей критическую проблему HPE OneView. Недавние предупреждения HPE также касались AOS-CX: там ошибки позволяли сбрасывать пароль администратора и выполнять код удалённо.
ИТ-директорам и сетевым командам сейчас стоит составить инвентаризацию ArubaOS 8 и 10, сверить версии с бюллетенем HPE, проверить, кто и откуда может достучаться до управления, а затем спланировать обновление с учётом резервирования контроллеров и точек доступа. Разработчикам эта история тоже знакома по собственной практике: критическая ошибка становится по-настоящему критичной, когда вокруг неё нет ограничений доступа, логов и понятного процесса обновлений.
Главный вопрос не в том, появится ли эксплуатация этих ошибок, а в том, сколько корпоративных сетей к тому моменту всё ещё будут держать административные интерфейсы на слишком широком периметре. Уязвимости ArubaOS в очередной раз показывают, что сетевое оборудование следует обновлять с той же дисциплиной, что и публичные сервисы: оно давно перестало быть «железом, которое просто работает».
