HPE Networking heeft meerdere ernstige kwetsbaarheden gedicht in HPE Networking AOS‑Switch (AOS‑S). Die zitten vooral in de managementinterface en de API. Zes fouten scoren tussen 9,0 en 9,8 op de CVSS‑schaal en vallen dus in de hoogste risicocategorie. De fixes zijn beschikbaar in AOS‑S 16.11.0032; alle eerdere 16.11‑releases zijn kwetsbaar. AOS‑S draait op veelgebruikte “klassieke” Aruba‑switches, zoals de 2530/2540/2920/2930F/2930M/3810M en 5400R, die nog op grote schaal in omgevingen voorkomen. (csaf.arubanetworking.hpe.com)

Wat is er precies gefikst

• CVE‑2026‑76742 en CVE‑2026‑76743 (CVSS 9.8): fouten in de managementinterface waarmee een niet‑geauthenticeerde aanvaller authenticatiecontroles kan omzeilen en ongeautoriseerde toegang kan krijgen. Voor CVE‑2026‑76743 geldt dat misbruik alleen mogelijk is als aan bepaalde, door HPE niet nader gespecificeerde randvoorwaarden is voldaan. (csaf.arubanetworking.hpe.com)
• CVE‑2026‑76744 (CVSS 9.8): buffer overflow waardoor een externe, niet‑geauthenticeerde aanvaller willekeurige code kan uitvoeren op de switch. (csaf.arubanetworking.hpe.com)
• CVE‑2026‑76745 (CVSS 9.6): geheugen­corruptie die vanaf een aangrenzend netwerk (layer‑2) te misbruiken is en kan leiden tot remote code execution. (csaf.arubanetworking.hpe.com)
• CVE‑2026‑76746 (CVSS 9.3): buffer overflow vanaf een aangrenzend netwerk met mogelijk datalek of denial‑of‑service als gevolg. (csaf.arubanetworking.hpe.com)
• CVE‑2026‑76747 (CVSS 9.1): buffer overflow op afstand die kan zorgen voor informatie­lekken of een denial‑of‑service. (csaf.arubanetworking.hpe.com)

Daarnaast zijn er nog drie belangrijke punten:

• CVE‑2026‑76748 (CVSS 8.8): privilege escalation in de AOS‑S API waarmee een gebruiker met alleen-lezenrechten adminrechten kan verkrijgen. (csaf.arubanetworking.hpe.com)
• CVE‑2026‑76741 (CVSS 6.5): door een geauthenticeerde gebruiker te misbruiken voor denial‑of‑service. (csaf.arubanetworking.hpe.com)
• CVE‑2026‑76749 (CVSS 6.5): ongeauthenticeerde informatie­ontsluiting. (csaf.arubanetworking.hpe.com)

Impact
Succesvolle exploitatie kan de vertrouwelijkheid, integriteit en beschikbaarheid van getroffen switches raken. Opvallend is dat meerdere kwetsbaarheden misbruik op afstand zonder credentials mogelijk maken; dat vergroot de kans op grootschalige misbruikscenario’s als managementinterfaces onbedoeld bereikbaar zijn. HPE meldt dat er op het moment van publicatie (6 oktober 2026) geen publieke exploitcode bekend was, maar benadrukt wel de urgentie om te patchen. Ook CERT‑FR heeft de bugs uitgelicht en bevestigt dat AOS‑S 16.11.0032 de benodigde fixes bevat. (csaf.arubanetworking.hpe.com)

Belangrijke nuance
Het gaat hier om AOS‑S (ArubaOS‑Switch), de softwarelijn voor de ‘klassieke’ Aruba‑switches. Dat is een andere tak dan AOS‑CX, waarvoor eerder dit jaar losstaande beveiligingsbulletins zijn verschenen. Verwissel die twee productlijnen dus niet bij het plannen van updates. (support.hpe.com)

Wat moet je nu doen

• Update zo snel mogelijk naar AOS‑S 16.11.0032 of hoger. Dit is de door HPE aangewezen remediatieversie voor alle genoemde CVE’s. (csaf.arubanetworking.hpe.com)
• Beperk toegang tot de managementinterfaces (web/CLI/API) tot een apart beheer‑VLAN en/of zet er strikte firewall‑ en ACL‑regels voor. Dit verkleint het aanvalsoppervlak direct en is door HPE expliciet als mitigatie genoemd. (csaf.arubanetworking.hpe.com)
• Controleer of beheerpoorten niet vanaf het internet bereikbaar zijn. Zo ja: sluit onmiddellijk af en dwing beheer via VPN en MFA af. (Algemene best practice.)
• Inventariseer welke switches AOS‑S draaien (bijv. 2530/2540/2920/2930F/2930M/3810M/5400R) en prioriteer systemen waar de managementinterface aan onbetrouwbare netwerken is blootgesteld. (arubanetworking.hpe.com)
• Monitor logging op mislukte logins, onverwachte config‑wijzigingen en onverklaarbare reboots of crashes nadat je hebt gepatcht. (Algemene best practice.)

Praktische context voor netwerkbeheerders

• Kwetsbaarheden met CVSS ≥9 wijzen vaak op netwerktoegankelijke, laagdrempelige aanvalspaden. In dit geval tonen de CVSS‑vectoren aan dat meerdere issues zonder authenticatie en zonder user‑interactie te triggeren zijn. Segmentatie en patchen zijn hier dus cruciaal. (csaf.arubanetworking.hpe.com)
• Gebruik je naast AOS‑S ook AOS‑CX? Check dan aparte HPE‑bulletins voor die lijn; de fixes en versies zijn anders. (support.hpe.com)

Bronnen en meer informatie

• HPE Networking Security Advisory HPESBNW05156 (6 oktober 2026): volledige lijst van CVE’s, CVSS‑scores, mitigaties en fixversies. (csaf.arubanetworking.hpe.com)
• CERT‑FR‑advies (7 oktober 2026): bevestigt impact en noemt AOS‑S‑versies vóór 16.11.0032 als kwetsbaar. (cert.ssi.gouv.fr)
• Overzicht van AOS‑S‑platformen waarop deze software draait (handig voor inventarisatie). (arubanetworking.hpe.com)

Kortom: dit is een high‑priority patchronde voor iedereen met AOS‑S in het netwerk. Update naar 16.11.0032, scherm beheerinterfaces af en houd je monitoring scherp. Dat verkleint de kans dat deze kwetsbaarheden een opstapje worden naar bredere compromittering. (csaf.arubanetworking.hpe.com)

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.