HPE Aruba: 72 Lücken in AOS-10 und AOS-8, 8 mit CVSS 10,0

72 Schwachstellen in der WLAN-Software von HPE Aruba: 8 davon erreichen die Höchstwertung 10,0. Dieser Beitrag zeigt, wer betroffen ist und was Admins jetzt prüfen sollten.

Das Wichtigste in Kürze

• HPE hat 72 Schwachstellen gemeldet. Sie betreffen die Software AOS-10 und AOS-8, die WLAN-Netze in Firmen verwaltet.
• 33 Lücken gelten als kritisch, 8 erreichen CVSS 10,0. Einige erlauben Fernsteuerung ohne Anmeldung.
• Ein Missbrauch ist bisher nicht belegt. Trotzdem ist eine rasche Prüfung nötig.
• Ein Update erfordert einen Neustart. Wartungsfenster müssen geplant werden.

Was HPE zu den Lücken in Aruba AOS-10 und AOS-8 veröffentlicht hat

Hewlett Packard Enterprise hat am 22. Oktober 2026 Sicherheitshinweise zu AOS-10 und AOS-8 publiziert. Das Advisory trägt die Nummer HPESBNW05162 und liegt auf der Support-Seite von HPE. Ein japanischer Blogbeitrag vom 24. Oktober 2026 fasst die Lage zusammen und stützt sich dabei auf die Zusammenfassung auf note.com. Zu einem späteren Update der Quelle liegt nichts vor.

Die Zahlen im Überblick:

Warum der Kern des WLAN betroffen ist

Die Lücken stecken nicht nur in den Access Points an der Decke. Betroffen ist das Betriebssystem der Mobility Controller und Gateways. Diese Geräte steuern viele Access Points zentral. Ein Einbruch dort wirkt sich auf die Kommunikation ganzer Stockwerke oder Gebäude aus.

Dabei nennt die Quelle Universitäten, Spitäler, Verwaltungen und Firmen als typische Anwender solcher Systeme. Die Angabe zum Marktanteil bezieht sich auf Japan. Für die Schweiz enthält sie keine Zahlen.

Zudem droht bei Lücken mit Wert 10,0 Fernsteuerung über das Netz. Ein Angreifer braucht dafür keine Zugangsdaten. Er könnte Datenverkehr mitlesen oder verändern. Gefährlich ist auch, dass ein übernommenes Gerät als Sprungbrett ins Firmennetz dient.

Warum ein sofortiges Update schwierig ist

Ein Update von Controllern oder Kern-OS verlangt einen Neustart. Dabei fallen viele Access Points gleichzeitig aus. Mitten im Unterricht, in der Sprechstunde oder im Büroalltag ist das kaum machbar. Deshalb braucht es ein geplantes Wartungsfenster, zum Beispiel nachts oder am Wochenende.

Das sollten Admins jetzt prüfen

Damit lässt sich das Risiko schon vor dem Patch senken. Die Quelle empfiehlt mehrere Schritte, die ohne Programmierkenntnisse gehen:

• Prüfe, ob im Haus Aruba- oder HPE-Geräte laufen. Schau in der Dokumentation nach, ob AOS-10 oder AOS-8 im Einsatz ist.
• Kontrolliere die Firewall. Web-Oberfläche, Kommandozeile und Steuerports der Controller dürfen nicht aus dem Internet erreichbar sein.
• Erlaube Verwaltungszugriffe nur aus bestimmten Netzsegmenten oder über ein Wartungs-VPN.
• Frage beim Dienstleister nach dem Patch-Plan, falls der Betrieb ausgelagert ist.
• Sichere vor dem Update die aktuelle Konfiguration an einem geschützten Ort.

Einordnung: Was das für Admins in der Schweiz heisst

Wer Aruba-WLAN mit AOS-10 oder AOS-8 betreibt, sollte das Advisory HPESBNW05162 jetzt lesen. Die Quelle nennt keine Frist, doch die Höchstwertung spricht für schnelles Handeln. Zuerst gilt es, die Verwaltungsoberfläche vom Internet abzuschotten. Das kostet laut Quelle nur Konfigurationsaufwand. Der Patch selbst braucht ein Wartungsfenster und damit Planung mit dem Betreiber. Ob Schweizer Kunden besonders betroffen sind, geht aus den Quellen nicht hervor.

Fazit

Du hast jetzt die Eckdaten: 72 Lücken, 8 davon mit Wert 10,0, bisher ohne bestätigten Missbrauch. Prüfe als Nächstes, ob dein WLAN auf AOS-10 oder AOS-8 läuft. Sperre den Zugriff auf die Verwaltung von aussen und plane den Patch in einem Wartungsfenster.

Quellen: Bing News: HPE Aruba. Stand: 25. Oktober 2026.

Quellen: Bing News: HPE Aruba. Stand: 25. Oktober 2026.

Geschrieben von der Redaktion · Freigegeben von Andreas Brauckmann · So arbeitet die Redaktion