HPE lanzó actualizaciones de seguridad para corregir 72 vulnerabilidades en ArubaOS, incluyendo ocho de severidad máxima que permiten la ejecución remota de código y el bypass de autenticación. Estos fallos afectan a versiones de AOS-8 y AOS-10 y pueden ser explotados remotamente sin interacción del usuario. La empresa insta a sus clientes a parchear sus sistemas urgentemente y restringir el acceso a las interfaces de gestión.





Hewlett Packard Enterprise (HPE) ha publicado actualizaciones de seguridad para corregir 72 vulnerabilidades en el sistema operativo Aruba (ArubaOS), incluyendo ocho problemas de ejecución de código y omisión de autenticación de severidad máxima.

ArubaOS, también conocido como AOS, impulsa la infraestructura inalámbrica empresarial de Aruba Networking, incluyendo conductores de movilidad, puntos de acceso, controladores y dispositivos de puerta de enlace.

Los ocho fallos de seguridad de severidad máxima corregidos hoy afectan a múltiples versiones de software AOS-8 y AOS-10, y pueden ser explotados por actores de amenazas remotas sin privilegios a través de ataques de baja complejidad que no requieren interacción del usuario.

HPE advirtió a los clientes que parchearan estos problemas de seguridad lo antes posible y proporcionó medidas de mitigación, incluyendo la restricción del acceso a las interfaces de gestión de AOS.

"Se insta encarecidamente a los clientes a parchear sus instancias debido a la complejidad, amplitud e impacto de estas vulnerabilidades", advirtió la empresa en un aviso de seguridad el jueves enlace.

"Para minimizar la probabilidad de que un atacante explote estas vulnerabilidades, HPE Networking recomienda que las interfaces de gestión basadas en web y CLI se restrinjan a un segmento/VLAN de capa 2 dedicado y/o sean controladas por políticas de firewall en la capa 3 y superiores, junto con controles contables para el seguimiento y registro de las actividades de los usuarios y el uso de los recursos".

La lista completa de los fallos de severidad máxima corregidos hoy se puede encontrar en la tabla a continuación:

CVE-ID Vulnerabilidad CVE-2026-79844 Omisión de Autenticación que conduce a RCE en AOS-10 CVE-2026-79845 Omisión de Autenticación en el protocolo PAPI de AOS-10 CVE-2026-79846 Inyección de Comandos no autenticada en AOS-8 CVE-2026-79847 Desbordamiento de Búfer no autenticado que conduce a RCE en AOS-10 CVE-2026-79848 Inyección SQL no autenticada que conduce a RCE en AOS-8 CVE-2026-79849 Inyección SQL no autenticada que conduce a RCE en AOS-8 CVE-2026-79850 Omisión de Autenticación que conduce a RCE en AOS-8 CVE-2026-79851 Desbordamiento de Búfer no autenticado que conduce a RCE en AOS-10

La empresa añadió que aún no ha encontrado código de exploit de prueba de concepto disponible públicamente ni pruebas de que estas vulnerabilidades estén siendo explotadas en entornos reales.

"HPE Networking no tiene conocimiento de ninguna discusión pública o código de exploit que se dirija a las vulnerabilidades enumeradas hasta la fecha de publicación de este aviso", afirmó.

En junio de 2025, HPE corrigió ocho vulnerabilidades críticas de StoreOnce que permitían la omisión de autenticación y la ejecución remota de código y, un mes después, advirtió sobre credenciales embebidas en los puntos de acceso Aruba Instant On que podrían permitir a los atacantes omitir la autenticación del dispositivo.

En enero de 2025, la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) también señaló una vulnerabilidad de severidad máxima de HPE OneView como explotada en ataques.

Más recientemente, HPE advirtió sobre fallos críticos que permitían el restablecimiento de contraseñas de administrador y la ejecución remota de código en dispositivos AOS-CX no parcheados.

HPE emplea a más de 61,000 personas en todo el mundo y presta servicios y productos a más de 55,000 clientes empresariales a nivel mundial, incluyendo el 90% de las empresas Fortune 500.

Fuente:
BleepingComputer