Huit failles notées 10 sur 10 menacent le Wi-Fi d'entreprise Aruba de HPE

Soixante-douze failles d'un coup. C'est le contenu du bulletin de sécurité HPESBNW05162, publié le 22 octobre par HPE pour AOS-8 et AOS-10. Ces deux systèmes font tourner le Wi-Fi d'entreprise de sa marque Aruba : bornes d'accès, contrôleurs, passerelles et consoles centrales de pilotage (« Mobility Conductors »). Huit de ces failles reçoivent la note de gravité maximale, 10 sur 10.

Selon BleepingComputer, ces huit failles peuvent être exploitées à distance, sans compte et sans intervention d'un utilisateur. HPE précise toutefois que deux d'entre elles (CVE-2026-79844 et CVE-2026-79846) ne sont exploitables que si certaines conditions préalables sont réunies. La bonne nouvelle : HPE déclare n'avoir connaissance « d'aucune discussion publique ni d'aucun code d'exploitation » visant ces failles à la date de son bulletin. L'éditeur n'en demande pas moins « fortement » à ses clients de corriger, en raison de « la complexité, l'étendue et l'impact » de ces vulnérabilités.

Ce que permettraient les huit failles les plus graves

Quatre concernent AOS-10. Deux sont des contournements d'authentification, dont l'un mène à l'exécution de code et l'autre touche PAPI, le protocole qu'utilisent bornes et contrôleurs pour communiquer. Les deux autres sont des débordements de mémoire menant à l'exécution de code (CVE-2026-79844, CVE-2026-79845, CVE-2026-79847, CVE-2026-79851).

Les quatre autres concernent AOS-8 : une injection de commandes sans authentification, deux injections SQL et un contournement d'authentification, ces trois dernières pouvant mener à l'exécution de code (CVE-2026-79846, CVE-2026-79848, CVE-2026-79849, CVE-2026-79850).

Pourquoi est-ce sérieux ? Un contrôleur Wi-Fi voit passer le trafic des utilisateurs et touche le plus souvent au réseau interne. Un attaquant qui en prendrait le contrôle disposerait d'un point d'appui idéal pour aller plus loin.

Les versions à installer

• AOS-10 : 10.8.1.2, 10.7.2.7 ou 10.4.1.14 (ou une version plus récente), selon la branche utilisée ;
• AOS-8 : 8.13.3.1 ou 8.10.0.24 (ou une version plus récente).

Les branches 10.6, 10.3 et 8.12 sont touchées, mais n'ont pas de correctif propre : il faut passer à l'une des versions ci-dessus. Les versions qui ne sont plus maintenues doivent être considérées comme vulnérables et ne seront pas corrigées. Selon le bulletin, les autres produits réseau de HPE ne sont pas concernés.

En attendant, sortir l'administration des réseaux ouverts

Mettre à jour un parc de bornes réparties sur plusieurs sites demande souvent une fenêtre de maintenance. Pour la période intermédiaire, HPE recommande de réserver l'accès aux interfaces d'administration, en ligne de commande comme par le web, à un segment réseau ou à un VLAN dédié, de filtrer ces accès par des règles de pare-feu et de journaliser l'activité des comptes.

Trois réflexes, conseillés par la société d'analyse Rescana, complètent ces mesures. D'abord, le port du protocole PAPI (UDP 8211) ne doit pas être joignable depuis les réseaux invités ou partagés. Ensuite, passez en revue les journaux d'administration à la recherche de connexions, de comptes ou de changements de configuration inattendus. Enfin, pour les passerelles gérées depuis la console en ligne HPE Aruba Networking Central, le bulletin ne précise pas si HPE applique lui-même la mise à jour, note la société d'analyse Rescana : mieux vaut vérifier la version installée que le supposer.

Aucune attaque n'est donc signalée pour l'instant. Mais un bulletin aussi détaillé sert aussi de carte aux attaquants, et le délai entre correctif et exploitation se compte parfois en semaines, comme l'ont montré les failles du serveur multimédia Plex, corrigées en septembre et exploitées en octobre. À surveiller : la publication d'un code d'exploitation et l'éventuel ajout de ces failles au catalogue des failles exploitées de l'agence américaine CISA.