HPE、ネットワーク製品の重大な脆弱性数十件にパッチを公開

HPEは先週、Arubaネットワーク製品のワイヤレスOS「AOS-8」と「AOS-10」に存在する72件の脆弱性に対するパッチを公開しました。このうち33件は深刻度が「クリティカル」です。

今回のセキュリティアップデートでは、最高深刻度の脆弱性8件が修正されました。対象はCVE-2026-79844、CVE-2026-79845、CVE-2026-79846、CVE-2026-79847、CVE-2026-79848、CVE-2026-79849、CVE-2026-79850、CVE-2026-79851です。

これらの欠陥を悪用された場合、認証を受けていない攻撃者がリモートコード実行（RCE）を達成したり、認証を回避して管理者権限を取得したりする可能性があります。さらに、任意のコマンドを実行され、影響を受けるシステムを完全に乗っ取られるおそれもあります。

この8件の脆弱性は、HPE NetworkingのAOSバージョン8.10.0.24、8.13.3.1、10.4.1.14、10.7.2.7、10.8.1.2で修正されています。これらのバージョンは、モビリティコンダクター、コントローラー、ゲートウェイ、アクセスポイントの各製品に展開されています。

HPEはセキュリティアドバイザリで、今回のアップデートで修正されたその他のクリティカルな脆弱性についても説明しています。これらを悪用された場合、認証不要のRCE、コマンド実行、情報漏えい、認証回避、ファイルの改ざん、管理者権限の取得、システムの完全な侵害につながる可能性があるということです。

HPEはこのほか、ネットワーク製品に存在する深刻度「高」の脆弱性31件も修正しました。このうち12件以上は認証なしで悪用可能です。深刻度「中」の脆弱性は8件、深刻度「低」の弱点は1件でした。

HPEによると、脆弱なワイヤレスOSに対応するすべての「ハードウェア、モビリティソリューション（コンダクター、コントローラー、ゲートウェイなど）、アクセスポイント、仮想マシン（VM）」も、これらのセキュリティ問題の影響を受けます。

HPEは「攻撃者がこれらの脆弱性を悪用する可能性を最小限に抑えるため、HPE Networkingは、CLIおよびWebベースの管理インターフェースを専用のレイヤー2セグメントまたはVLANに限定することを推奨します。あわせて、レイヤー3以上でファイアウォールポリシーによる制御を行い、ユーザーのアクティビティやリソース使用状況を追跡・記録するアカウンティング制御も導入してください」と説明しています。

同社は、これらの脆弱性が悪用された事例は確認していないとしています。ただし、利用者に対しては、できるだけ早くパッチを適用するよう強く呼びかけています。