Wenn dein WLAN von Aruba kommt, ist das Wochenende kein guter Zeitpunkt zum Abschalten. HPE hat am 23. Oktober 2026 gleich 72 Schwachstellen in ArubaOS geschlossen — und acht davon liegen auf der Höchststufe. Die Angriffe sind aus der Ferne möglich, ohne Anmeldung und ohne Klick des Opfers.
DAS IST PASSIERT: Acht Mal Volltreffer
Laut BleepingComputer betreffen die Lücken mehrere Versionen von AOS-8 und AOS-10. Das Betriebssystem läuft auf Mobility Conductors, Controllern, Access Points und Gateways. Die acht Höchstwertungen im Überblick:
- CVE-2026-79844 — Authentifizierungs-Umgehung mit Codeausführung (AOS-10)
- CVE-2026-79845 — Authentifizierungs-Umgehung im PAPI-Protokoll (AOS-10)
- CVE-2026-79846 — Befehlseinschleusung ohne Login (AOS-8)
- CVE-2026-79847 — Pufferüberlauf mit Codeausführung ohne Login (AOS-10)
- CVE-2026-79848 und CVE-2026-79849 — SQL-Einschleusung mit Codeausführung ohne Login (AOS-8)
- CVE-2026-79850 — Authentifizierungs-Umgehung mit Codeausführung (AOS-8)
- CVE-2026-79851 — Pufferüberlauf mit Codeausführung ohne Login (AOS-10)
WIE SCHLIMM? Niedrige Hürde, hoher Preis
HPE beschreibt die Angriffe als aus der Ferne, unauthentifiziert, mit geringer Komplexität und ohne Nutzerinteraktion. Das ist die Kombination, die Admins nachts wach hält. Ein CVSS-Wert steht in der Berichterstattung nicht, nur die Einstufung „maximal“.
Die gute Nachricht: HPE sagt, es habe keinen öffentlichen Exploit-Code und keine Angriffe in freier Wildbahn gefunden. Genau dieses Zeitfenster solltest du nutzen.
WAS DU TUN SOLLTEST
- Advisory lesen: Die betroffenen und gefixten Versionen stehen im HPE-Hinweis
hpesbnw05162en_us. Der Bericht nennt sie nicht. - Patchen: Controller und Conductor zuerst, dann die Access Points. Plane ein Wartungsfenster ein.
- Management abschotten: CLI und Web-Oberfläche in ein dediziertes Layer-2-Segment oder VLAN legen.
- Filtern: Firewall-Regeln auf Layer 3 und höher anlegen, damit die Verwaltung nicht aus dem Internet oder aus Gäste-WLANs erreichbar ist.
- Mitschneiden: Accounting aktivieren, damit Nutzeraktivitäten nachvollziehbar sind.
FAZIT: Management-Ebene nie ins Netz
Auch für Homelab-Fans mit gebrauchter Aruba-Hardware gilt: Die Verwaltung gehört in ein eigenes Netz. Wer das schon getan hat, gewinnt Zeit. Wer nicht, hat bis zum Patch eine offene Flanke.