HPE hat 72 Schwachstellen im Betriebssystem ArubaOS geschlossen. Acht davon haben die höchste Schwere und erlauben Anmeldeumgehung oder Codeausführung aus der Ferne. HPE kennt bisher weder öffentlichen Exploit-Code noch Angriffe. Admins sollen patchen und die Verwaltungszugänge abschotten.
HPE hat 72 Lücken in ArubaOS geschlossen, acht davon mit der höchsten Schwere. Sie betreffen WLAN-Controller, Access Points und Gateways. Angreifer brauchen weder Rechte noch einen Klick eines Nutzers. Wer Aruba-Netze betreibt, sollte rasch patchen.
Das Wichtigste in Kürze
- 72 Lücken sind behoben. Acht davon erreichen die höchste Schwerestufe und erlauben Anmeldeumgehung oder Codeausführung.
- Angriffe aus der Ferne sind möglich. Es braucht keine Rechte, keine Nutzeraktion und nur geringen Aufwand.
- Bisher keine Angriffe bekannt. HPE kennt weder öffentlichen Exploit-Code noch Ausnutzung in freier Wildbahn.
- Verwaltung abschotten. HPE rät zu einem eigenen VLAN oder zu Firewall-Regeln für die Verwaltungsoberflächen.
Was HPE in ArubaOS behoben hat
Hewlett Packard Enterprise hat Sicherheitsupdates für das Aruba Operating System veröffentlicht. Es heisst auch AOS. Es läuft auf Mobility Conductors, Access Points, Controllern und Gateways von Aruba Networking. Darüber berichtet BleepingComputer.
Die Meldung nennt für das Advisory nur einen Donnerstag. Ein genaues Datum der Erstveröffentlichung und der letzten Aktualisierung steht nicht in der Quelle. Beides ist deshalb unbestätigt.
Von den 72 Lücken sind acht als maximal schwer eingestuft. Sie betreffen mehrere Versionen von AOS-8 und AOS-10. Angreifer können sie aus der Ferne ausnutzen. Sie brauchen dafür keine Rechte, der Aufwand ist gering, und ein Nutzer muss nichts tun.
| Kennzahl | Wert | Bedeutung |
|---|---|---|
| Behobene Lücken | 72 | Umfang der Updates für ArubaOS |
| Höchste Schwere | 8 | Anmeldeumgehung und Codeausführung |
| Betroffene Linien | AOS-8 und AOS-10 | Beide Versionsreihen brauchen Updates |
| Bekannte Angriffe | keine | HPE sieht zum Zeitpunkt der Meldung keinen Exploit |
Dabei zählt vor allem die Kombination der Eigenschaften. Ein Angriff über das Netz, ohne Konto und ohne Mithilfe eines Nutzers, lässt sich leicht automatisieren. HPE schreibt, Kunden sollten wegen Komplexität, Breite und Wirkung der Lücken dringend patchen.
Diese Schutzmassnahmen empfiehlt HPE
Wer nicht sofort aktualisieren kann, sollte den Zugang zur Verwaltung einschränken. HPE nennt dafür mehrere Wege:
- Die Kommandozeile und die Weboberfläche liegen in einem eigenen Layer-2-Segment oder VLAN.
- Firewall-Regeln ab Layer 3 steuern, wer die Verwaltung erreicht.
- Accounting-Kontrollen protokollieren Aktivitäten der Nutzer und die Nutzung von Ressourcen.
Damit sinkt die Chance, dass ein Angreifer die verwundbaren Dienste überhaupt erreicht. Diese Schritte ersetzen das Update nicht. Sie überbrücken die Zeit bis zum Einspielen. Die genaue Liste der Lücken und der betroffenen Versionen steht im Sicherheitshinweis von HPE.
Zudem hält HPE fest, dass bisher weder öffentliche Diskussionen noch Exploit-Code zu diesen Lücken bekannt sind. Das gilt für den Tag der Veröffentlichung. Diese Lage kann sich schnell ändern, sobald Angreifer die Patches auswerten.
Frühere Funde bei HPE-Produkten
HPE musste in den letzten Monaten mehrfach kritische Lücken beheben. Die Quelle nennt diese Fälle:
- Im Juni 2025 schloss HPE acht kritische Lücken in StoreOnce, mit Anmeldeumgehung und Codeausführung.
- Einen Monat später warnte HPE vor fest eingebauten Zugangsdaten in Aruba Instant On Access Points.
- Im Januar 2025 stufte die US-Behörde CISA eine Lücke in HPE OneView mit maximaler Schwere als ausgenutzt ein.
- Zuletzt warnte HPE vor Lücken in AOS-CX, die Passwort-Resets für Admins und Codeausführung erlauben.
So zeigt sich ein Muster. Verwaltungsfunktionen von Netzwerkgeräten stehen immer wieder im Fokus von Angreifern. HPE bedient laut Quelle über 55 000 Firmenkunden weltweit, die Zahl der Betroffenen ist also gross.
Einordnung: Was das für Admins in der Schweiz heisst
Wer Aruba-Controller, Gateways oder Access Points mit AOS-8 oder AOS-10 betreibt, sollte den Bestand sofort prüfen. HPE nennt keine Frist, rät aber, so schnell wie möglich zu patchen. Wo das nicht geht, gehören die Verwaltungsoberflächen in ein eigenes VLAN oder hinter eine Firewall. Das kostet vor allem Arbeitszeit, laut Quelle gibt es keine Zusatzkosten für die Updates. Angriffe sind bisher nicht bestätigt, doch ein Fenster zum Handeln besteht nur, solange das so bleibt.
Fazit
Du weisst jetzt, dass acht ArubaOS-Lücken maximal schwer sind und aus der Ferne ausgenutzt werden können. Prüfe als Nächstes deine AOS-Versionen im Advisory von HPE und plane die Updates. Sperre bis dahin den Zugriff auf die Verwaltung per VLAN oder Firewall.
Quellen: Bing News: HPE Aruba. Foto: Bru-nO / Pixabay. Stand: 23. Oktober 2026.
Recherche und Entwurf KI-gestützt, geprüft und freigegeben von Andreas Brauckmann · So arbeitet die Redaktion
Änderungshistorie
- — Artikel veröffentlicht.