HPE ArubaにCVSS 10.0の脆弱性8件、AOS-8/10の対象機器と修正版

HPEは2026年10月22日、Arubaの無線ネットワーク製品で使うAOS-8・AOS-10のセキュリティ更新を公表しました。告知HPESBNW05162は72件のCVEを掲載し、うち8件をCVSS v3.1の最高値10.0と評価しています。

最高値の8件には、認証回避からのコード実行、認証不要のコマンド注入、SQLインジェクション、バッファオーバーフローが含まれます。HPEは告知の公開時点で、掲載した脆弱性を狙う攻撃コードなどは把握していないとしています。そのうえで、問題の複雑さ・範囲・影響の大きさを理由に更新を強く勧めています。

対象機器と系列別の修正版

対象はMobility Conductor、Mobility Controller、HPE Networking Central管理のMobility Gateway、AOS-10のアクセスポイント、AOS-8のInstantアクセスポイントです。各CVEがAOS-8とAOS-10のどちらに影響するかは、告知のDetails欄で確認できます。

HPEが10.0とするCVE-2026-79845は、CVE.orgでは別製品の問題として登録されています(10月24日時点)。

表にない系列の修正版は、今回の告知には載っていません。HPEは、保守更新が終了したEoM版は特記がなければ影響するとみなし、今回の告知では修正版を示していません。サポート終了のEoS版は未評価で、影響する可能性があるとしてサポート対象版への移行を勧めています。告知は系列別のEoM・EoS期限を列挙していないため、自分の版が該当するかはHPEへ確認してください。

更新までの管理アクセス制限

HPEは悪用の可能性を下げる策として、CLIとWebの管理インターフェースを専用VLANやファイアウォールで制限し、アクセスや操作を記録するよう推奨しています。

告知にはPAPIプロトコルやWi-Fiフレーム処理など、管理画面以外にある問題も含まれます。管理アクセスの制限と併せて、表の修正版への更新を進めてください。

参考情報

• HPE: HPESBNW05162(AOS-8/AOS-10)
• CVE.org: 最高値の評価例(CVE-2026-79844)
• CVE.org: CVE-2026-79845