HPE تصدر تحديثات لثماني ثغرات بأعلى درجات الخطورة في ArubaOS تتيح تجاوز المصادقة وتنفيذ الأوامر عن بُعد

أصدرت HPE تحديثات أمنية لمعالجة 72 ثغرة في نظام Aruba Operating System (المعروف أيضاً باسم ArubaOS أو AOS)، وهو النظام الذي تعمل عليه البنية اللاسلكية المؤسسية من Aruba Networking، مثل mobility conductors ونقاط الوصول والمتحكمات والبوابات. وتحمل ثماني من هذه الثغرات أعلى تصنيف للخطورة.

ما الذي تأثر

تؤثر الثغرات الثماني في إصدارات متعددة من AOS-8 وAOS-10. ويمكن لمهاجم عن بُعد دون أي صلاحيات استغلالها بهجمات منخفضة التعقيد لا تتطلب تفاعل المستخدم. وتشمل تجاوز المصادقة (ومنه ثغرة في بروتوكول PAPI ضمن AOS-10)، وحقن الأوامر وحقن SQL دون مصادقة في AOS-8، وفيض الذاكرة المؤقتة دون مصادقة في AOS-10. ويؤدي عدد منها إلى تنفيذ شيفرة عن بُعد. وهي مسجلة من CVE-2026-79844 إلى CVE-2026-79851.

حالة الاستغلال وإرشادات الشركة

تذكر HPE أنها لا تعلم بنقاش علني أو شيفرة استغلال تستهدف هذه الثغرات، ولا تملك دليلاً على استغلالها فعلياً حتى تاريخ النشرة. ومع ذلك تحث العملاء بقوة على التحديث نظراً لتعقيد الثغرات واتساعها وأثرها.

وكإجراء تخفيفي، توصي الشركة بحصر واجهات الإدارة (سطر الأوامر والويب) في شريحة VLAN مخصصة من الطبقة الثانية، و/أو التحكم بها عبر سياسات جدران نارية على الطبقة الثالثة وما فوقها، مع ضوابط محاسبة لتتبع أنشطة المستخدمين واستخدام الموارد وتسجيلها.

لماذا يهم ذلك

تقع المتحكمات والبوابات اللاسلكية قريباً من قلب الشبكة. وينبغي للجهات التي تشغّل AOS-8 أو AOS-10 التعامل مع هذا التحديث كأولوية، رغم عدم الإبلاغ عن استغلال، لأن غياب شيفرة الاستغلال العلنية غالباً ما يكون مؤقتاً.