HPE Aruba AOS-8・AOS-10の脆弱性｜CVE-2026-79844ほか、上げるバージョンの早見表

HPEは10月23日1時（日本時間）、Arubaの無線LANコントローラーやアクセスポイント（AP）で動くOS「AOS-8」と「AOS-10」に、72件の脆弱性があると発表しました。そのうち8件は、深刻さを表すCVSSの点数が最高の10.0です。

コントローラーやゲートウェイ、APを管理している人は、まず今のバージョンを確かめます。そのうえで、下の早見表の「直ったバージョン」以上に上げます。

結論：系列ごとに決まったバージョン以上へ上げる

• 直ったバージョンは、AOS-10が10.8.1.2・10.7.2.7・10.4.1.14以上、AOS-8が8.13.3.1・8.10.0.24以上です。
• 72件のうち、いちばん深刻な「Critical」が33件あります。そのうち8件はCVSSが10.0です。
• HPEは、発表の日の時点で、公開された攻撃コードや公の場での議論は把握していないとしています。そのうえで、早く直すよう強くすすめています。
• すぐに上げられないときは、CLIとWebの管理画面に入れる範囲を限る回避策があります。
• 2026年10月25日8時30分（日本時間）時点のHPEの発表の内容です。

上げるバージョンの早見表

今のバージョンが「影響を受ける」の列のバージョン以下なら、同じ行の「直った」の列のバージョン以上へ上げます。

直ったバージョンのソフトウェアは、HPE Networking Support Portal（networkingsupport.hpe.com）から手に入ります。

HPEは、AOS-8やAOS-10が動かないHPE Networkingの製品と、上の表で「影響を受ける」に入らないバージョンは、影響を受けないとしています。ただし、保守やサポートが終わったバージョンは別の扱いです（下の「サポートが終わったバージョンの扱い」を見てください）。

自分のバージョンの確かめ方

コントローラーやゲートウェイ、APのCLIで、次のコマンドを実行します。HPEのCLIリファレンスでは、AOS-8、AOS-10、AOS-8のInstant APのどれにもこのコマンドがあります。

show version

出力の「Version」のところに、使っているバージョンが出ます。AOS-10のリファレンスの例では「Version 10.4.0.0 LSR」のように、バージョンのあとにリリースの種類が付きます。

AOS-8のコントローラーでは、Mobility Conductorのenableモードかconfigモードで実行します。Instant APでは特権モードで実行します。

AOS-10は、10.7.1.0から出力に出るOSの名前が変わりました。「ArubaOS」は「AOS-10」に、「Aruba Operating System Software」は「HPE Aruba Networking Wireless Operating System」になっています。名前が変わっても、見るのは「Version」のところです。

72件の内訳

HPEの発表に載っている72件を、CVSS 3.1の点数で分けると次のとおりです。

OSで分けると、AOS-10だけのものが27件、AOS-8だけのものが38件、両方にあるものが7件です。AOS-8とAOS-10のどちらでも、影響を受けるバージョンなら上げる必要があります。

CVSSが10.0の8件

CVE-2026-79844とは

CVE-2026-79844は、AOS-10の影響を受けるインターフェースで認証を回避され、外から好きなコマンドを実行されるおそれがある脆弱性です。HPEによると、攻撃する側に認証は要りません。ただし、攻撃する側にはどうにもできない前提の条件が、いくつかそろう必要があります。

対象はAOS-10の10.8.0.0〜10.8.1.1、10.7.0.0〜10.7.2.6、10.4.0.0〜10.4.1.13です。AOS-8は対象に入っていません。CVSS 3.1の点数は10.0です。

CVEの登録は、10月23日4時4分（日本時間）に公開されました。登録に付いている米国CISAの評価では、悪用は「なし」、攻撃の自動化は「できる」、影響は「全面的」です。

対象の機器

HPEが対象に挙げているのは、次の機器です。

• Mobility Conductor
• Mobility Controller
• Mobility Gateway（HPE Networking Centralで管理するもの）
• AOS-10のAP
• AOS-8のInstant AP

影響を受けるバージョンのAOSが動く機器は、コントローラーやゲートウェイ、APのどれでも、ハードウェアでも仮想マシンでも対象です。HPEの発表に挙がっている機種は例で、挙がっていない機種でも対象です。

すぐに上げられないときの回避策

HPEは、攻撃される見込みを下げる方法として、次の対策をすすめています。

• CLIとWebの管理画面に入れる範囲を、専用のレイヤー2のセグメントやVLANに限る。または、レイヤー3以上のファイアウォールのポリシーで制限する。
• あわせて、誰がいつ何をしたかを記録して追えるようにする。

回避策は、攻撃される見込みを下げるための対策です。HPEは、直ったバージョンへ上げることを強くすすめています。

サポートが終わったバージョンの扱い

保守が終わった（End of Maintenance）バージョンは、とくに書かれていなければ影響を受けるものとみなされます。この発表で直す対象には入っていません。

サポートが終わった（End of Support）バージョンは、HPEが影響を調べていません。影響を受けるおそれがあるものとして扱うよう求めています。

HPEは、こうしたバージョンを使っている場合、サポートされているバージョンへ上げるよう強くすすめています。この発表で直ったバージョンが出ているのは、早見表の5つの系列だけです。

公式の発表

• HPE：HPESBNW05162 rev.1 – Multiple Vulnerabilities in HPE Networking Wireless Operating Systems (AOS-10 & AOS-8)（10月23日 日本時間、英語）
• CVE.org：CVE-2026-79844（英語）
• HPE：AOS-8 CLI Reference「show version」（英語）
• HPE：AOS-10 CLI Reference「show version」（英語）
• HPE：Instant AP CLI Reference「show version」（英語）
• HPE：AOS-10.7.1.0 Release Notes「What’s New」（英語）