HPE Aruba AOS-8／AOS-10 ― 認証なしRCEの欠陥が8件

要点

AOS-10.8.x.x は 10.8.1.1 以下、AOS-10.7.x.x は 10.7.2.6 以下、AOS-10.4.x.x は 10.4.1.13 以下
AOS-8.13.x.x は 8.13.3.0 以下、AOS-8.10.x.x は 8.10.0.23 以下
対象機器：Mobility Conductor、Mobility Controller、Mobility Gateway（HPE Networking Central管理）、AOS-10アクセスポイント、AOS-8 Instantアクセスポイント
保守終了（EoM）の版は「影響ありとみなす」扱いで、修正の対象外

何が起きているか

事実（HPEの勧告 HPESBNW05162）

HPE Networkingは2026年10月22日（米国時間、日本時間では23日）、無線LAN製品向けOSのAOS-8とAOS-10について、72件のCVEを修正する勧告HPESBNW05162を公開した。深刻度は「Critical」。
そのうち次の8件が、CVSS 3.1の基本値10.0（AV:N/AC:L/PR:N/UI:N/S:C）。いずれも認証不要で、ネットワーク越しに攻撃できる評価になっている。

CVE	対象	内容（勧告の記述）
CVE-2026-79844	AOS-10	認証回避。攻撃者が制御できない前提条件がそろうと、OS上で任意のコマンド実行
CVE-2026-79845	AOS-10	PAPIプロトコルの認証回避。管理者権限の取得、設定変更、機微情報の閲覧・改ざん
CVE-2026-79846	AOS-8	認証なしのコマンドインジェクション（前提条件つき）
CVE-2026-79847	AOS-10	細工したパケットによるバッファオーバーフローで、特権ユーザーとしてコード実行
CVE-2026-79848、CVE-2026-79849	AOS-8	認証なしのSQLインジェクションから、OS上でコマンド実行
CVE-2026-79850	AOS-8	認証回避から、rootとして任意のコマンド実行
CVE-2026-79851	AOS-10	バッファオーバーフローで、特権ユーザーとしてコード実行

大半はHPE Networkingの社内調査で見つかった。CVE-2026-79848／79849は、HPEのバグバウンティ経由の報告者（moonv）も謝辞に名前がある。
HPEは「公開の議論やエクスプロイトコードは、勧告の公開時点で把握していない」としている。CISA KEVへの追加もない（2026年10月25日時点）。
それでもHPEは「脆弱性の複雑さ、範囲、影響の大きさから、強く更新を求める」と書いている。

機器の種類：Mobility Conductor、Mobility Controller、Mobility Gateway（HPE Networking Centralで管理するもの）、AOS-10のアクセスポイント（AOS-AP）、AOS-8のInstantアクセスポイント（AOS-IAP）。
影響を受ける版：

保守終了（EoM）の版は「影響があるとみなす」とされ、この勧告の修正対象に入らない。サポート終了（EoS）の版は評価すらしていないため、影響の可能性ありとして扱うよう求めている。
スイッチ向けのAOS-CXは別製品で、この勧告の対象ではない（AOS-CXは9月1日の別勧告HPESBNW05134）。

修正版は上の表のとおり。HPE Networking Support Portalから入手する。
回避策としてHPEは、CLIとWebベースの管理インターフェースを専用のレイヤー2セグメント／VLANに限定するか、レイヤー3以上のファイアウォールポリシーで制御し、操作の記録（アカウンティング）も併用するよう勧めている。

社内の無線LANコントローラー、ゲートウェイ、アクセスポイントのAOSの版を一覧にし、上の表の「影響を受ける版」に当たるものを洗い出す。Instant AP（コントローラーなしで動くAP）も対象に入るので、拠点や店舗のAPも漏らさない。
修正版へ更新する。コントローラーとAPの更新順や再起動は業務に響くため、保守時間を早めに取る（考察）。
更新までの間は、管理画面（HTTPS）とSSHに届く送信元を管理用ネットワークだけに絞る。インターネットから管理画面が見えていないかも、外部から確認する（考察）。
EoM・EoSの版で動いている機器は修正が出ないので、サポート中の版への移行か機器の更新を計画する。

「前提条件つき」でも楽観できない: CVE-2026-79844と79846には「攻撃者が制御できない前提条件」という但し書きがあるが、条件の中身は公開されていない。残りの6件にはその但し書きがなく、認証なしでrootや特権ユーザーとしてコードを動かせると書かれている。条件の有無で優先度を下げるより、8件まとめて片付けるほうが確実だ。
管理経路の絞り込みが効く理由: HPEの回避策が「CLIとWeb管理画面の制限」であることから、少なくとも一部はその管理系の受け口が入口だと読める。ただし、PAPI（AP・コントローラー間の通信に使う独自プロトコル）を対象とするCVE-2026-79845や、「細工したパケット」によるCVE-2026-79847は、管理画面を絞るだけで防げるかが勧告からは分からない。回避策は時間稼ぎと考え、更新を本筋にしたい。
悪用までの時間は短いと見ておく: ネットワーク機器の管理面の欠陥は、修正の公開後に差分解析から攻撃が作られ、数週間で悪用が始まる例が多い。今回は社内発見でPoCもまだないが、8件・72件という規模はそれ自体が研究者や攻撃者の注目を集める。無線LANのコントローラーは社内ネットワークの中心にあり、乗っ取られると通信の盗聴や横展開の足場になりうる。