HPE corrige 72 fallos en Aruba AOS, incluidos ocho de máxima severidad
El boletín de HPE cubre Aruba AOS-8 y AOS-10; ocho CVE permiten RCE o bypass de autenticación en equipos inalámbricos.
HPE publicó el boletín HPESBNW05162 para 72 vulnerabilidades en sus sistemas inalámbricos Aruba AOS-8 y AOS-10. Ocho fallos identificados como de máxima severidad pueden permitir ejecución remota de código o eludir la autenticación; HPE distribuyó versiones corregidas para las ramas afectadas y pide restringir el acceso a las interfaces de gestión mientras se aplican.
-InfraCrew dice: cuando el mismo controlador lleva años concentrando APs, usuarios y cambios de red, su panel de administración merece menos exposición que el Wi-Fi de invitados.-
El grupo de ocho fallos más graves
El boletín identifica CVE-2026-79844 a CVE-2026-79851 como ocho problemas de máxima severidad. Según la descripción resumida por HPE, una explotación exitosa puede permitir a un atacante remoto sin autenticar ejecutar código, saltarse controles de acceso, obtener privilegios administrativos o ejecutar comandos en el dispositivo. No todos los fallos tienen por qué producir cada uno de esos efectos; el riesgo concreto depende del CVE y del componente afectado.
El paquete total no son ocho fallos: HPE contabiliza 72 vulnerabilidades, incluidas 33 críticas, 31 altas, ocho medias y una baja. Esa distinción importa al planificar el cambio: los ocho máximos justifican una prioridad alta, pero actualizar solo para ellos y dejar el resto del boletín pendiente no equivale a cerrar la exposición de la rama.
HPE publicó el aviso inicial el 22 de octubre; SecurityWeek lo resumió el 27. La empresa dijo que no conocía explotación activa de los fallos en ese momento y recomendó aplicar los parches cuanto antes. La ausencia de ataques conocidos es una fotografía del reporte, no una garantía sobre lo que haya ocurrido en cada red ni una razón para dejar las interfaces de gestión abiertas.
-InfraCrew dice: que una vulnerabilidad todavía no tenga campaña pública es una buena noticia; no es un control de acceso.-
A qué equipo afecta y qué versión instalar
El alcance incluye productos que ejecutan AOS inalámbrico: Mobility Conductors, controladores, gateways y puntos de acceso compatibles con las ramas indicadas. No hay que trasladar automáticamente esta matriz a AOS-CX de switches campus o centro de datos; son familias de sistema operativo distintas aunque compartan Aruba en la etiqueta.
Las versiones corregidas que HPE indica son:
| Rama afectada | Versión corregida |
|---|---|
| AOS-8.10.x.x | 8.10.0.24 o posterior |
| AOS-8.13.x.x | 8.13.3.1 o posterior |
| AOS-10.4.x.x | 10.4.1.14 o posterior |
| AOS-10.7.x.x | 10.7.2.7 o posterior |
| AOS-10.8.x.x | 10.8.1.2 o posterior |
La versión importa tanto como el modelo: un punto de acceso y su controlador pueden seguir ramas diferentes. Conviene inventariar la versión real de cada conductor, controlador, gateway y AP antes de decidir la ventana, y contrastar con la rama soportada por el equipo. HPE advierte que software pasado de End of Maintenance debe considerarse afectado salvo que el boletín diga lo contrario; para ramas más allá de End of Support no evaluó la exposición, por lo que no conviene tratarlas como seguras por omisión.
Reducir exposición mientras llega el cambio
HPE recomienda que las interfaces web y de línea de comandos (CLI) de gestión queden en una red dedicada o controladas por políticas de firewall, con registro de actividad. En la práctica, eso limita quién puede llegar al plano de administración mientras se prepara el parche; no corrige la vulnerabilidad y no sustituye la actualización.
-InfraCrew dice: el AP del pasillo no necesita hablar con toda la red de oficina para que el controlador administre radios; separa gestión y tráfico de usuarios con la arquitectura ya aprobada.-
Tras actualizar, hay que comprobar la versión instalada y el estado de los dispositivos que dependen del controlador, además de confirmar que la configuración inalámbrica sigue propagándose. No se trata solo de cerrar un CVE en una caja: una actualización de AOS afecta la continuidad de la red de acceso, así que el cambio debe incluir validación de APs, gateways y gestión centralizada.
Diccionario de la Crew
AOS — Sistema operativo de red inalámbrica Aruba que ejecutan los controladores, gateways y puntos de acceso incluidos en este boletín.
CVE — Identificador público que permite referirse a una vulnerabilidad concreta.
CLI — Interfaz de línea de comandos usada para administrar el equipo.
End of Maintenance — Fin del periodo de mantenimiento habitual del producto; no es necesariamente la misma fecha que el fin de soporte.
