HPE hat am 22. Oktober 2026 ein ungewöhnlich großes Sicherheitsupdate für sein WLAN-Betriebssystem veröffentlicht. Das Bulletin HPESBNW05162 betrifft AOS-8 und AOS-10, also die Software auf Aruba-Mobility-Controllern, Mobility Conductors, Gateways und Access Points. Insgesamt geht es um mehr als 70 Schwachstellen. Acht davon sind mit der Höchstwertung 10.0 von 10 eingestuft (CVE-2026-79844 bis CVE-2026-79851). Über sie kann ein Angreifer aus dem Netz ohne Anmeldung Befehle auf dem Gerät ausführen oder administrativen Zugriff erlangen, etwa über das PAPI-Protokoll, mit dem Access Points und Controller miteinander sprechen.
Betroffen sind laut HPE diese Versionsstände und alles darunter: AOS-10.8.1.1, 10.7.2.6, 10.4.1.13 sowie AOS-8.13.3.0 und 8.10.0.23. Abgesichert sind die Versionen 10.8.1.2, 10.7.2.7, 10.4.1.14, 8.13.3.1 und 8.10.0.24 und neuer. Das gilt auch für Gateways, die über HPE Networking Central verwaltet werden. Das Firmware-Update stößt dort der Betreiber selbst an, sofort oder zeitgesteuert. Nicht aufgeführt sind Switches mit AOS-CX und die Produktlinie Instant On; für sie gilt dieses Bulletin nicht.
Ein Punkt verdient besondere Aufmerksamkeit: Versionen, deren Wartung bereits ausgelaufen ist (End of Maintenance), behandelt HPE als vermutlich betroffen, liefert dafür aber keine Korrekturen. Wer also noch auf einem älteren AOS-8-Zweig läuft, etwa weil die Installation seit Jahren stabil ist, kann nicht einfach einen Patch einspielen. Hier steht ein Wechsel auf einen unterstützten Zweig an, und bei sehr alter Hardware stellt sich die Frage, ob diese den neuen Stand überhaupt noch unterstützt.
Nach Angaben von HPE wurden die Lücken bei internen Prüfungen gefunden. Öffentlicher Angriffscode oder Angriffe sind bislang nicht bekannt. Das ist eine gute Nachricht, aber kein Grund zum Abwarten: Mit dem Bulletin liegen die Schwachstellen offen, und WLAN-Controller sind ein lohnendes Ziel, weil sie zentral im Netz sitzen. Als Übergangslösung empfiehlt HPE, die Verwaltungszugänge per CLI und Weboberfläche nur aus einem eigenen Management-VLAN oder über Firewall-Regeln erreichbar zu machen und Anmeldungen zu protokollieren. Das senkt das Risiko, ersetzt das Update aber nicht.
Für die Praxis empfehlen wir: Zuerst den Bestand klären, also welche Controller, Gateways und Access Points auf welchem AOS-Stand laufen. Dann prüfen, ob die Verwaltungsoberflächen von außen oder aus dem Gäste- und Client-Netz erreichbar sind, und das gegebenenfalls sofort abstellen. Danach das Update in einem Wartungsfenster einspielen. Und wer feststellt, dass sein Zweig keine Updates mehr bekommt, sollte die Modernisierung jetzt einplanen statt erst beim nächsten Bulletin.
Sie betreiben ein Aruba-WLAN und sind nicht sicher, auf welchem Stand Ihre Geräte sind? Sprechen Sie uns an. Als HPE-Aruba-Partner prüfen wir Ihre Installation, spielen die Updates ein und beraten Sie, wenn ein Versionswechsel oder neue Hardware ansteht. Quelle: HPE Security Bulletin HPESBNW05162 vom 22.10.2026.