HPE ArubaOS 10 (AOS-10): Nicht authentifizierte Remote Code Execution aus dem Nachbarnetz
Zusammenfassung
Eine Remote Code Execution-Schwachstelle im zugrunde liegenden Betriebssystem von HPE ArubaOS 10 (AOS-10) erlaubt einem nicht authentifizierten Angreifer im selben lokalen Netzwerk oder in Funkreichweite, beliebigen Code auf einem betroffenen Gerät auszuführen. Bei erfolgreicher Ausnutzung erhält der Angreifer privilegierte Befehlsausführung auf dem Gerät, was zur vollständigen Kompromittierung und zu einem Zugriffspunkt im internen Netzwerk führen kann. HPE hat Korrekturen veröffentlicht, und bisher wurde keine Ausnutzung gemeldet.
Betroffen
- ArubaOS 10.4.0.0 bis 10.4.1.13
- ArubaOS 10.7.0.0 bis 10.7.2.6
- ArubaOS 10.8.0.0 bis 10.8.1.1
- Untere Grenzen sind nicht gegen die Herstellerberatung verifiziert.
Behoben in
- Upgrade auf 10.8.1.2 oder neuer im Zweig 10.8
- Upgrade auf 10.7.2.7 oder neuer im Zweig 10.7
- Korrigierte Version für den Zweig 10.4: nicht verifiziert (eine Sekundärquelle nennt 10.4.1.14; vor einer Massnahme bei HPE bestätigen)
Umgehung
- Kein vom Hersteller angegebener Workaround bekannt.
- Bis zur Korrektur: Zugriff auf die Verwaltung von Access Points und Controllern sowie auf angrenzende Netzsegmente einschränken, Gast-WLAN vom internen Netz trennen und Controller auf ungewöhnliche Aktivitäten überwachen.
Ausnutzung
- HPE meldet laut Beratungsstand keine Hinweise auf aktive Ausnutzung und keinen öffentlichen Exploit-Code.
- Gemäss einem Aggregator nicht im CISA KEV-Katalog aufgeführt.
- Öffentlicher PoC: keiner gefunden.
Unsere Empfehlung
- Alle AOS-10-Access-Points, Gateways und Controller inventarisieren und die Firmware-Versionen erfassen.
- Betroffene Geräte auf die korrigierten Versionen gemäss HPE-Beratung HPESBNW05162 aktualisieren und die genauen Versionen dort prüfen.
- Bis zur Korrektur den Verwaltungszugriff einschränken und Gast-Netze isolieren.
- Auf Aktualisierungen von NVD und CISA achten, da die CVSS- und CWE-Bewertung noch aussteht.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- HPE Security Bulletin HPESBNW05162 support.hpe.com
- VulDB CVE-2026-79877 vuldb.com
- Canadian Cyber Centre advisory AV26-1079 (HPE) cirt.gy
- Strix AI CVE-2026-79877 www.strix.ai
- TechBytes: HPE patches eight max-severity RCE and auth bypass flaws techbytes.app
- pwn.watch: HPE Aruba AOS critical RCE pwn.watch
- The Backroom Tech: HPE patches 72 ArubaOS vulnerabilities thebackroomtech.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 10:52.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.