Hewlett Packard Enterprise(HPE)は、Aruba Operating System(ArubaOS)に存在する72件の脆弱性を修正するセキュリティアップデートを公開しました。この中には、認証バイパスやコード実行につながる、最大深刻度の脆弱性8件が含まれています。
ArubaOSはAOSとも呼ばれ、モビリティコンダクター、アクセスポイント、コントローラー、ゲートウェイ機器など、Aruba Networkingの企業向けワイヤレスインフラを支えるOSです。
今回修正された最大深刻度の脆弱性8件は、複数のAOS-8およびAOS-10のソフトウェアバージョンに影響します。リモートの攻撃者は、権限がなくても、ユーザーの操作を必要としない低複雑度の攻撃で悪用できます。
HPEは顧客に対し、できるだけ早くパッチを適用するよう呼びかけています。あわせて、AOSの管理インターフェースへのアクセス制限といった緩和策も示しました。
同社は木曜日に公開したセキュリティアドバイザリで、「これらの脆弱性は複雑で影響範囲が広く、影響も大きいため、お客様には強くパッチ適用をお勧めします」と警告しています。
アドバイザリには、次のようにも書かれています。「攻撃者がこれらの脆弱性を悪用する可能性を下げるため、HPE Networkingは、CLIおよびWebベースの管理インターフェースを専用のレイヤー2セグメント/VLANに制限することを推奨します。レイヤー3以上では、ファイアウォールポリシーによる制御に加え、ユーザーの操作やリソース使用状況を追跡・記録するアカウンティング制御も併用してください」
今回修正された最大深刻度の脆弱性は、下表のとおりです。
| CVE-ID | 脆弱性 |
| CVE-2026-79844 | AOS-10における、RCEにつながる認証バイパス |
| CVE-2026-79845 | AOS-10のPAPIプロトコルにおける認証バイパス |
| CVE-2026-79846 | AOS-8における、認証不要のコマンドインジェクション |
| CVE-2026-79847 | AOS-10における、RCEにつながる認証不要のバッファオーバーフロー |
| CVE-2026-79848 | AOS-8における、RCEにつながる認証不要のSQLインジェクション |
| CVE-2026-79849 | AOS-8における、RCEにつながる認証不要のSQLインジェクション |
| CVE-2026-79850 | AOS-8における、RCEにつながる認証バイパス |
| CVE-2026-79851 | AOS-10における、RCEにつながる認証不要のバッファオーバーフロー |
HPEによると、現時点で、公開されている概念実証(PoC)のエクスプロイトコードや、これらの脆弱性が実際の攻撃で悪用されている証拠は確認されていません。
同社は「HPE Networkingは、このアドバイザリの公開日時点で、記載の脆弱性を標的とする公開の議論やエクスプロイトコードを把握していません」と述べています。
HPEは2025年6月にも、認証バイパスとリモートコード実行を可能にするStoreOnceの重大な脆弱性8件を修正しました。その1か月後には、Aruba Instant Onアクセスポイントにハードコードされた認証情報があり、攻撃者にデバイス認証を回避される恐れがあると警告しています。
2025年1月には、米国のサイバーセキュリティ・インフラストラクチャセキュリティ庁(CISA)も、最大深刻度のHPE OneViewの脆弱性が攻撃で悪用されているとして注意を呼びかけました。
最近では、パッチ未適用のAOS-CX機器で管理者パスワードのリセットやリモートコード実行が可能になる重大な脆弱性についても、HPEが警告しています。
HPEの従業員は世界で6万1,000人以上です。Fortune 500企業の90%を含む、世界5万5,000社以上の企業顧客にサービスと製品を提供しています。
