ArubaOS 一次补 72 个洞 8 个满分 无线控制器版本清单

起因是想清点手里几台无线控制器的固件版本，翻到 HPE 10 月 22 日发的安全公告 HPESBNW05162，看完第一感觉是这批该排进本周的维护窗口了。这不是一个普通的双洞补丁：一次公告里 72 个 CVE，其中 8 个被 HPE 评为 CVSS 3.1 满分 10.0，而且多数不需要认证就能从网络侧打到。凡是跑 ArubaOS 的无线设备，这次都值得对一遍版本。



先圈范围。公告覆盖 AOS-8 和 AOS-10 两条线的无线产品：AOS-8 的 Mobility Conductors、Mobility Controllers、Mobility Gateways 和 Instant 接入点，AOS-10 的 Mobility Gateways 和 AOS-10 接入点（可经 HPE Networking Central 管理）。跑 Aruba 交换机的注意，AOS-CX 是另一条产品线，不在本公告范围，别白忙活。

8 个满分洞按产品线拆开看：AOS-10 侧是 CVE-2026-79844（认证绕过导致 RCE）、CVE-2026-79845（PAPI 协议认证绕过）、CVE-2026-79847 和 CVE-2026-79851（两处未授权缓冲区溢出导致 RCE）；AOS-8 侧是 CVE-2026-79846（未授权命令注入）、CVE-2026-79848 和 CVE-2026-79849（未授权 SQL 注入可到 RCE）、CVE-2026-79850（认证绕过导致 RCE）。这 8 个的 CVSS 向量特征一致：网络可达、低攻击复杂度、无需权限、无需用户交互、范围改变。HPE 对其中 79844 和 79846 附加了一句"需满足某些攻击者无法控制的前提条件"才可能执行命令，具体前提没公开，我建议按最坏情况处理，不要赌前提不成立。

PAPI 是 Aruba 接入点和控制器之间的管理协议，走 UDP 8211。这批洞里多个都在 PAPI 上，所以这个端口是不是暴露给了不可信网段，是排查时第一个要看的。

版本对照我整理成图放在文首，来自 HPE 公告原文：AOS-10 的 10.8 分支升到 10.8.1.2 或更高，10.7 升到 10.7.2.7，10.4 升到 10.4.1.14；AOS-8 的 8.13 升到 8.13.3.1，8.10 升到 8.10.0.24。麻烦的是停止维护（EoM）的版本：HPE 明说这类版本假定受影响、不做安全评估、没有补丁，只能整体迁移到受支持分支。我之前以为顶多多个小版本号，结果 EoM 用户面对的是一次完整的大版本迁移测试。

核对版本最省事的办法是登控制器跑 show version，把分支号和完整 build 号对照上表；走 Central 管理的设备在 Central 的设备清单里直接看固件版本。想本地留一份权威 CVE 清单，可以下 HPE 的 CSAF 文件核对，The Back Room Tech 10 月 23 日实测的命令是这样（注意后续修订可能变化）：

curl -O https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.json

python3 -c "import json; d=json.load(open('hpe_networking_-_hpesbnw05162.json')); print(d['document']['tracking']['current_release_date']); print(len(d.get('vulnerabilities', [])))"

他们跑出来的结果是 2026-10-22T16:00:00.000Z 和 72，与公告 rev.1 一致。

有几处口径分歧我得如实摆出来，不做合并。第一，严重性分布：Rescana 按 HPE 签名文本和 CSAF 统计是 33 个 Critical（其中 19 个可网络利用、14 个需要相邻网络）、31 High、7 Medium、1 Low；另一家媒体 Daily Security Review 称 34 个 Critical，这个数字在 HPE 公告文本里没有，The Back Room Tech 也明确说无法独立证实，引用时请注明出处。第二，评分：CVE-2026-79881（AOS-8 认证绕过）在 HPE 10 月 25 日更正后的 CSAF 里是 8.5，NVD 页面显示 8.3，两边并列以官方为准。第三，有媒体报道 AOS-8 SSH 守护进程存在一个免登录直接拿管理员权限的认证绕过，编号被写作 CVE-2026-79855、评分 9.8，但这个编号和评分没能从 HPE 公告文本中得到独立确认，写进工单前先对官方 CVE 列表核实。另外公共 CVE 记录里 79845 曾指向不相关产品，以 HPE 公告为准。

缓解方面，HPE 官方给的临时措施是三条：把 CLI 和 Web 管理接口限制在专用二层网段或 VLAN，用三层防火墙策略只放行指定管理主机，收紧账号审计和日志。说白了就是管理面收敛——UDP 8211 和管理接口绝不能从互联网、访客网络或不可信网段够到。因为那 14 个需要相邻网络位置的 Critical，访客 Wi-Fi 和共享网段同样要当作不可信对待。要说清的是：隔离只是缩小能碰到洞的人，洞还在，补丁才是终点。

截至 10 月 25 日核对，这 72 个 CVE 都没进 CISA KEV 目录，HPE 也表示公告发布时未发现公开讨论或利用代码。这是好消息，意味着现在排窗口是主动布防而不是救火，但窗口别拖过季度。固件从 HPE Networking Support 门户下载，部分需要支持账号登录。

本次核对过的来源如下，HPE 公告为权威源，其余为独立报道核对：

1. HPE Aruba Networking 安全公告 HPESBNW05162 rev.1（2026-10-22）
   https://support.hpe.com/connect/s/softwaredetailcontainer?softwareId=MTX-514b1c8fd6664a4ea8
   CSAF 文件：https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.json
2. Rescana 对 HPESBNW05162 的逐条分析（2026-10-23，含 HPE 公告原文引用与 10-25 更正记录）
   https://www.rescana.com/post/hpe-aruba-aos-cve-2026-79844-critical-october-2026
3. The Back Room Tech：HPE patches 72 ArubaOS vulnerabilities（2026-10-23）
   https://thebackroomtech.com/hpe-patches-72-arubaos-vulnerabilities-eight-maximum-severity-flaws/
4. wafai.cn：HPE ArubaOS 修复 72 个漏洞（2026-10-25）
   https://www.wafai.cn/hpe-arubaos-72-vulnerabilities-eight-cvss-10/

**HKTULU**
2026-10-26