HPE Aruba Networking の脆弱性群が FIX：8件の CVSS 10.0 が含まれる

HPE Warns Critical Aruba Networking Flaws Could Let Hackers Take Complete Control of Devices

2026/10/23 CyberSecurityNews — Hewlett Packard Enterprise (HPE) が公開したのは、Aruba Networking の無線ネットワーク・ソフトウェアに存在する複数の脆弱性に対するセキュリティ・パッチである。これらの脆弱性を悪用する攻撃者は、影響を受けるデバイスを完全に制御する可能性がある。それらの脆弱性は、Mobility Conductor／コントローラー／ゲートウェイ／アクセスポイントで使用される AOS-8 と AOS-10 に影響する。複数の脆弱性は、有効な認証情報がなくても悪用できるため、ネットワーク管理者には速やかなパッチ適用が求められる。

Aruba Networking の複数の脆弱性

HPE が 2026年10月22日に公開したセキュリティ情報 HPESBNW05162 では、認証バイパス／コマンド・インジェクション／SQL インジェクション／バッファ・オーバーフローに関する脆弱性が説明されている。

このうち 8 件の脆弱性は、CVSS スコア 10.0 と評価されている。一連の脆弱性の悪用に成功した攻撃者は、機密情報の漏えい／デバイス設定の変更／権限でのコマンド実行などを引き起こす可能性がある。

特に深刻な脆弱性 CVE-2026-79850 を悪用する攻撃者は、認証情報を必要とせずに AOS-8 の認証をバイパスし、root 権限でコマンドを実行する可能性がある。その結果、基盤となるオペレーティング・システムを完全に制御される恐れがある。

2つ目の脆弱性 CVE-2026-79855 は、AOS-8 の SSH サービスに影響し、認証されていない攻撃者に管理者アクセスを許す可能性がある。

AOS-10 にも、重大な脆弱性が存在する。CVE-2026-79845 は、Aruba のアクセスポイント管理プロトコルである PAPI に影響する。この脆弱性の悪用に成功した攻撃者が、認証処理を回避して設定を変更し、機密情報への不正アクセスを引き起こす可能性がある。

脆弱性 CVE-2026-79847／CVE-2026-79851 は、バッファ・オーバーフローに関する欠陥であり、悪意のコードが特権付きで実行される可能性がある。

その他の脆弱性は、PAPI 通信を通じてアクセス可能なサービスに影響する。

たとえば、影響を受ける AOS-8 システムの UDP ポート 8211 に、特別に細工されたパケットを送信することで、CVE-2026-79860 が悪用される可能性がある。

HPE は、SQL インジェクションに関する脆弱性も報告している。これらの脆弱性は、データベースへの不正アクセスにとどまらず、オペレーティング・システム上でのコマンド実行につながる可能性がある。

攻撃に必要な条件は、脆弱性ごとに異なる。

一部の脆弱性はリモートから悪用できるが、別の脆弱性では、攻撃者が隣接するネットワークにアクセスできることや、デバイスに物理的にアクセスできることが必要となる。また、コマンド実行に関する一部の脆弱性は、攻撃者自身では制御できない条件にも依存している。

したがって、今回報告されたすべての脆弱性が、同じ方法でデバイスの乗っ取りを可能にするわけではない。

以前にも Cybersecurity News は、Aruba アクセスポイントのコマンド・インジェクションの脆弱性や、AOS コントローラーおよびゲートウェイのセキュリティ上の問題について報じている。ただし、これらは今回の修正とは異なる脆弱性の公表に関するものである。

影響を受けるバージョンと修正済みリリース

影響を受けるバージョンには、各ブランチにおける以下のリリースおよび、それ以前のバージョンが含まれる。

製品系列影響を受けるバージョン修正済みバージョン
AOS-10.810.8.1.1 以前10.8.1.2
AOS-10.710.7.2.6 以前10.7.2.7
AOS-10.410.4.1.13 以前10.4.1.14
AOS-8.138.13.3.0 以前8.13.3.1
AOS-8.108.10.0.23 以前8.10.0.24

セキュリティ情報に記載された製品モデルから漏れる場合であっても、対象ソフトウェアと互換性のあるハードウェアや仮想環境は、影響範囲に含まれる。

HPE が推奨するのは、使用しているブランチに応じて、AOS-10.8.1.2／AOS-10.7.2.7／AOS-10.4.1.14／AOS-8.13.3.1／AOS-8.10.0.24 などへ、速やかにアップグレードすることだ。アップデートは、HPE Networking Support Portal から入手できる。

パッチ適用までの緩和策

アップデートを適用するまでの間の措置として HPE が推奨するのは、コマンドラインおよび Web 管理インターフェイスへのアクセスを、専用のネットワーク・セグメントまたは VLAN に制限することだ。これらのアクセス制限は、ファイアウォール・ルールにより実施する必要がある。また、管理者はユーザーの操作を追跡し、ログに記録するための管理機能も有効にすべきである。

こうした対策により、攻撃にさらされる範囲を縮小できるが、セキュリティ・パッチの適用に代わるものではない。

HPE は、今回のアドバイザリを公開した時点で、これらの脆弱性を標的とする公開された議論やエクスプロイト・コードについて把握していないと説明している。ただし、この説明は、実際に攻撃が発生していないことを証明するものではない。

また、保守期間やサポート期間が終了した古いソフトウェアについても、安全であると判断すべきではない。

HPE は顧客に対して、サポート対象のリリースへ移行するよう呼びかけている。

この記事は、無線 ネットワーク 基盤である Aruba Networking の制御 ソフトウェア AOS-8 および AOS-10 における重大な不具合群について解説するものです。認証 制御や通信 パケット 処理に関する不備が背景に存在します。影響として、装置の特権 乗っ取りや設定 情報の改ざんが生じる恐れがあります。対応策として、最新の修正版への切り替え／管理用 通信のネットワーク セグメント 分離／操作 ログ 監視の有効化が求められます。