台灣電腦網路危機處理暨協調中心（TWCERT/CC）於 2026 年 11 月 6 日通報，HPE Networking 的 AOS-10 與 AOS-8 存在多項高風險安全漏洞，類型涵蓋身分鑑別繞過、緩衝區溢位、SQL 注入、指令注入與敏感資訊洩露。最嚴重情況下，未經身分鑑別的遠端攻擊者可繞過既有控制，並以 root 權限在底層作業系統執行任意指令。
事件經過
- TWCERT 依官方資安通報，提醒企業儘速確認設備版本並進行處置。
- BleepingComputer 引述 HPE 於 2026 年 10 月 23 日釋出的更新：一次修補 AOS 共 72 項漏洞，其中 8 項為最高嚴重度（CVSS 10.0）的身分鑑別繞過／遠端程式碼執行問題，CVE 編號為 CVE-2026-79844 至 CVE-2026-79851。
- HPE 表示截至公告發布時，尚未掌握公開 PoC 或野外實際利用跡象。
影響版本與建議升級
TWCERT 列出之受影響版本（含該版及更早）：
- AOS-10.8.x：≤ 10.8.1.1
- AOS-10.7.x：≤ 10.7.2.6
- AOS-10.4.x：≤ 10.4.1.13
- AOS-8.13.x：≤ 8.13.3.0
- AOS-8.10.x：≤ 8.10.0.23
建議升級至（或之後版本）：AOS-10.8.1.2、10.7.2.7、10.4.1.14，以及 AOS-8.13.3.1 或 8.10.0.24+。細節請以 HPE 官方 advisory（HPESBNW05162）為準。
對你的實務建議
企業／IT 管理者
- 盤點 Aruba／HPE Networking 控制器、閘道、行動導體與 AP 的 AOS 版本，優先升級仍落在受影響區間者。
- 將 CLI 與網頁管理介面限制在專用 Layer 2 VLAN，或以防火牆控管 Layer 3 以上存取，並啟用帳務／操作紀錄。
- 管理面勿直接暴露於網際網路；變更後驗證登入、設定備份與高可用性狀態。
- 持續關注 HPE PSIRT 與 TWCERT 後續更新；目前雖無公開野外利用，仍應視為高優先修補。
一般用戶
- 家用或小型環境若使用 Aruba Instant On／相關設備，向維運單位或服務商確認韌體是否已更新。
- 勿自行將管理介面對外公網；遠端維運請走 VPN 或受控通道。
- 留意異常的無線斷線、無法連線企業入口等狀況，並回報 IT。
發表留言