Kaj se je zgodilo
Hewlett Packard Enterprise (HPE) je 22. oktobra 2026 objavil varnostni bilten HPESBNW05162, v katerem je po navedbah BleepingComputerja popravil 72 ranljivosti v operacijskem sistemu Aruba (ArubaOS). Med njimi jih je osem doseglo najvišjo ali skoraj najvišjo oceno resnosti. Prizadeti so sistemi AOS-8 in AOS-10, ki tečejo na Mobility Conductorjih, kontrolerjih, prehodih (gateway) in dostopovnih točkah. Po navedbah Cyber Security News gre za kombinacijo napak pri obidu avtentikacije, vrivanju ukazov (command injection), SQL vrivanju in prekoračitvi medpomnilnika (buffer overflow).
Najpomembnejše ranljivosti
Štiri ranljivosti so po podatkih NVD ocenjene s CVSS 3.1 10.0 (CRITICAL): CVE-2026-79847, CVE-2026-79850, CVE-2026-79851 in še ena iz iste skupine. Po navedbah Cyber Security News CVE-2026-79850 napadalcu omogoča obid avtentikacije v AOS-8 brez poverilnic ter izvajanje ukazov s pravicami root, kar pomeni popoln nadzor nad operacijskim sistemom naprave.
CVE-2026-79855 in CVE-2026-79860 imata CVSS 3.1 oceno 9.8 (CRITICAL). Po navedbah vira CVE-2026-79855 prizadene SSH storitev v AOS-8 in lahko napadalcu podeli administrativni dostop brez prijave.
CVE-2026-79845 je po podatkih NVD ocenjen bistveno nižje, s CVSS 4.0 oceno 5.5 (MEDIUM); po navedbah Cyber Security News prizadene protokol PAPI, ki se uporablja za upravljanje dostopovnih točk v AOS-10. Treba je opozoriti, da se opis te ranljivosti v NVD podatkih nanaša na sistem code-projects Simple Inventory System in ne na ArubaOS, zato je povezava med CVE identifikatorjem in opisom v javnih zapisih nejasna.
Za nobeno od navedenih ranljivosti trenutno ni potrjenega vnosa v katalog CISA KEV, prav tako ni dokazov o aktivnem izkoriščanju v naravi. Vrednosti EPSS za vse omenjene CVE so po podatkih s 23. oktobra 2026 nizke, kar kaže na trenutno majhno verjetnost izkoriščanja v bližnji prihodnosti.
Kaj to pomeni za slovenska in evropska podjetja
ArubaOS se pogosto uporablja v podjetniških in šolskih omrežjih ter pri ponudnikih storitev, zato lahko nepopravljene naprave predstavljajo vstopno točko v omrežje organizacije. Ker gre pri več ranljivostih za obid avtentikacije, je tveganje toliko večje pri napravah, ki so dostopne iz interneta ali iz manj zaupanja vrednih segmentov omrežja.
Priporočeni ukrepi
- Namestite popravke, ki jih HPE navaja v biltenu HPESBNW05162, na vseh napravah z AOS-8 in AOS-10.
- Preverite, katere naprave Mobility Conductor, kontrolerji, prehodi in dostopovne točke so izpostavljene javnemu omrežju, in jim dajte prednost pri popravljanju.
- Omejite dostop do upravljavskih vmesnikov (SSH, PAPI) samo na zaupanja vredne segmente omrežja.
- Spremljajte morebitne nove objave glede uvrstitve teh CVE v katalog CISA KEV ali poročila o aktivnem izkoriščanju.
Vprašanja in odgovori
Ali je katera od teh ranljivosti že uvrščena v CISA KEV? Ne, glede na podatke, preverjene 23. oktobra 2026, nobena od navedenih CVE ni uvrščena v katalog CISA KEV.
Ali obstaja javno dostopen PoC za te ranljivosti? Iz razpoložljivih virov to ni razvidno za ranljivosti v ArubaOS.
Katera ranljivost je najbolj zaskrbljujoča? Po navedbah Cyber Security News je CVE-2026-79850 posebej resna, saj omogoča obid avtentikacije brez poverilnic in izvajanje ukazov s pravicami root v AOS-8.
Pogosta vprašanja
Ali je katera od teh ranljivosti že uvrščena v CISA KEV?
Ne, glede na podatke, preverjene 23. oktobra 2026, nobena od navedenih CVE ni uvrščena v katalog CISA KEV.
Ali obstaja javno dostopen PoC za te ranljivosti?
Iz razpoložljivih virov to ni razvidno za ranljivosti v ArubaOS.
Katera ranljivost je najbolj zaskrbljujoča?
Po navedbah Cyber Security News je CVE-2026-79850 posebej resna, saj omogoča obid avtentikacije brez poverilnic in izvajanje ukazov s pravicami root v AOS-8.
Sorodne objave
- GraphQL-core: ranljivost DoS v validacijskem pravilu OverlappingFieldsCanBeMerged
- Pegasus vohunska programska oprema potrjena na iPhonu rektorja beograjske univerze tik pred volitvami v Srbiji
- Zlonamerna programska oprema PEERSTITCH izkorišča ranljivost v FortiOS za zaobidenje preverjanja VPN-sej