HPEの無線LANのOSに脆弱性72件 Critical 33件 修正版へ更新を

HPE(Hewlett Packard Enterprise)は2026年10月22日(米国時間)、無線LANの機器で動くOS「AOS-10」と「AOS-8」の脆弱性72件(CVEの数)を、1つの勧告(HPESBNW05162)で公表しました。深刻度がいちばん高いCriticalは33件で、うち8件はCVSS 3.1で最高の10.0です。多くは、認証なしでネットワーク越しにコードやコマンドを実行されるおそれがあるものです。HPEは、無線LANのコントローラーやアクセスポイントを、修正版へ上げるよう強く求めています。

勧告で分かっていること

影響する版と修正版

保守が終わった版(EoM)は、別に書かれていない限り影響があるものとみなされ、この勧告の対象外です。サポートが終わった版(EoS)は、HPEが影響を調べていないため、影響があるものとして扱うよう求めています。古い系列のまま使っている場合は、修正が出ないものとして、サポート中の系列への移行を考えます。

72件の中身(おおまかな分類)

勧告の見出しをもとに、当社でおおまかに分けました。1件の見出しに複数の弱点がまとめられているものもあります。

見出しの約4割には「認証なし(Unauthenticated)」とあります。また14件は「Adjacent」、つまり同じネットワークや同じ無線の範囲にいる攻撃者が前提のものです。社内のLANや無線LANにつながった端末が乗っ取られると、そこから狙われうることになります(当社の見立て)。

同じHPEの有線のスイッチのOSでも、10月に脆弱性が公表されています(HPEのAOS-Switchに脆弱性9件、うちCVSS9以上が6件。修正版は16.11.0032)。

影響する会社・しない会社

• 影響する: HPE Aruba Networking(現HPE Networking)の無線LANのコントローラー、ゲートウェイ、アクセスポイントを、AOS-10かAOS-8で使っている会社
• 影響する: 無線LANの運用を保守の会社に任せている会社。保守の会社が更新の計画を持っているかを確かめます
• とくに急ぐ: 管理の画面やCLI、PAPIが、利用者の端末と同じネットワークや、外から届く場所に開いている会社
• 影響しない: HPEのほかのネットワークの製品や、ほかの会社の無線LANの製品。HPEは、一覧に無いHPE Networkingの製品と版は影響しないとしています

情シスが今日やること

1. 版を一覧にします。 無線LANのコントローラー、ゲートウェイ、アクセスポイントで動いているAOSの版を、管理の画面やHPE Networking Centralで確かめ、5つの系列のどれか、修正版より前かを表にします。
2. 修正版へ上げる計画を立てます。 10.8.1.2・10.7.2.7・10.4.1.14・8.13.3.1・8.10.0.24以降へ上げます。アクセスポイントの更新で無線が切れる時間があるため、業務の止めてよい時間を決めて段取りを組みます。
3. 管理の入口を絞ります。 CLIとWebの管理の画面、PAPIを、管理用のVLANや、決まった端末からだけ届くようファイアウォールで絞ります。利用者のネットワークやゲストの無線LANから届かないかを確かめます。
4. 古い系列を洗い出します。 保守やサポートが終わった版のまま動いている機器は、修正が出ないものとして、サポート中の系列への移行か、機器の入れ替えを決めます。
5. 操作の記録を確かめます。 管理の画面へのログインや設定の変更の記録が残り、見張られているかを確かめます。見慣れない管理者のアカウントや設定の変更が無いかも見ます。