HPE heeft een grote stap gezet om zijn draadloze infrastructuur veiliger te maken. Op donderdag 22 oktober 2026 bracht het bedrijf updates uit voor ArubaOS (AOS-8 en AOS-10) die in totaal 72 kwetsbaarheden dichten in Mobility Conductors, Mobility Controllers, Mobility Gateways en (Instant) Access Points. Maar liefst 33 daarvan krijgen een kritieke score. Van die kritieke groep zijn er 19 op afstand te misbruiken zonder inloggegevens; voor de overige 14 is eveneens geen authenticatie nodig, maar moet de aanvaller zich op een aangrenzend netwerk bevinden. Succesvol misbruik kan leiden tot het uitvoeren van willekeurige code, het verkrijgen van adminrechten, het aanpassen van configuraties, het uitlezen van gevoelige data en Denial-of-Service. (csaf.arubanetworking.hpe.com)

Acht kwetsbaarheden springen eruit met de maximale CVSS-score van 10,0: CVE-2026-79844 t/m CVE-2026-79851. Deze kunnen op afstand, zonder gebruikersinteractie en zonder authenticatie worden misbruikt. Zeven daarvan kunnen tot remote code execution leiden. Voor CVE-2026-79845 benadrukt HPE dat ongeautoriseerde toegang en het wijzigen of uitlezen van gevoelige gegevens mogelijk is. Tegelijkertijd vermeldt HPE dat misbruik van sommige issues — zoals CVE-2026-79844 en CVE-2026-79846 — kan afhangen van randvoorwaarden buiten de invloedssfeer van de aanvaller, ondanks de maximale score. (bleepingcomputer.com)

Op protocolniveau is vooral het eigen PAPI-protocol (waarmee controllers en access points met elkaar praten) een aandachtspunt. In AOS-8 zijn onder meer CVE-2026-79857 en CVE-2026-79860 op afstand te misbruiken door speciaal vervaardigde UDP-pakketten naar poort 8211 te sturen. Dit kan uitmonden in willekeurige code-uitvoering met verhoogde rechten en potentieel volledige systeemcompromittering. (csaf.arubanetworking.hpe.com)

Goed nieuws: HPE zegt geen publieke exploitcode of tekenen van actief misbruik te kennen per release­datum van het advies. Toch is het dringende advies om snel te patchen gezien de impact en het grote aanvalsoppervlak. Ook BleepingComputer meldt dat HPE klanten aanspoort om prioriteit te geven aan deze updates. (csaf.arubanetworking.hpe.com)

Welke versies moet je hebben?

• AOS-10: 10.8.1.2, 10.7.2.7 of 10.4.1.14 (of hoger)
• AOS-8: 8.13.3.1 of 8.10.0.24 (of hoger)
  Versies tot en met AOS‑10.8.1.1, 10.7.2.6, 10.4.1.13 en AOS‑8.13.3.0 / 8.10.0.23 staan als kwetsbaar aangemerkt. HPE merkt bovendien op dat versies die end‑of‑maintenance zijn in principe als geraakt moeten worden beschouwd. (csaf.arubanetworking.hpe.com)

Wat kun je nu al doen als patchen even moet wachten?

• Beperk de CLI- en webbeheerinterfaces tot een dedicated beheernetwerk (L2-segment/VLAN) en scherm ze af met firewall-policies op L3 en hoger. Log en monitor beheeractiviteiten. (csaf.arubanetworking.hpe.com)
• Filter of blokkeer PAPI (UDP 8211) vanaf niet‑vertrouwde netwerken en gast/vpn‑segmenten. (csaf.arubanetworking.hpe.com)
• Update access points en controllers per omgeving naar de eerstbeschikbare vaste release uit bovenstaande trains en behandel systemen met internettoegankelijke beheerpoorten als spoedklus. (csaf.arubanetworking.hpe.com)

Ook het NCSC adviseert om updates voor de kritieke kwetsbaarheden met voorrang uit te rollen. Zeker in omgevingen waar Aruba‑infrastructuur bedrijfskritisch is (zorg, onderwijs, overheid, retail) verklein je zo direct het risico op uitval of datalekken. (db.gcve.eu)

Samengevat: dit is een omvangrijke patchronde met reële risico’s, waaronder meerdere pre‑auth RCE’s. Check vandaag nog je AOS‑versies, plan de upgrades (AOS‑10 naar 10.8.1.2/10.7.2.7/10.4.1.14, AOS‑8 naar 8.13.3.1/8.10.0.24) en zet beheer- en PAPI‑verkeer strak op slot waar dat nog niet zo is. (csaf.arubanetworking.hpe.com)

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.