Sicherheitswarnungen · 22. Oktober 2026
HPE Aruba WLAN: Access Points und Controller lassen sich ohne Anmeldung übernehmen
HPE hat 72 Lücken in der Software seiner Aruba-WLAN-Geräte geschlossen. Mehrere davon erlauben es Angreifern im Netz, ohne Kennwort eigene Befehle auf Access Points und Controllern auszuführen.
Worum es geht
HPE Aruba Networking AOS-8 und AOS-10
Aruba-Access-Points von HPE sind in vielen österreichischen Betrieben für das Firmen- und Gäste-WLAN im Einsatz, oft als sogenannte Instant Access Points ohne eigenen Controller. Der Hersteller hat am 22. Oktober ein Sammel-Update für die Betriebssysteme AOS-8 und AOS-10 veröffentlicht. Acht der Lücken bewertet er mit der Höchstnote 10,0.
Je nach Lücke kann ein Angreifer die Anmeldung umgehen, Befehle einschleusen oder einen Speicherfehler auslösen. Im schlimmsten Fall übernimmt er das Gerät vollständig, ohne ein Kennwort zu kennen. Von dort aus kann er den Datenverkehr mitlesen oder weiter ins Firmennetz vordringen. Voraussetzung ist, dass er die Verwaltungszugänge der Geräte erreicht, etwa aus dem Gäste-WLAN oder aus dem Internet.
Laut HPE sind bisher weder Angriffe noch öffentlicher Angriffscode bekannt. Bei so vielen schweren Fehlern ist aber damit zu rechnen, dass Angreifer die Updates bald auswerten. Ältere Versionen ohne Herstellerunterstützung erhalten keine Korrektur.
Betroffen
- AOS-8 Instant Access Points sowie Mobility Conductor und Mobility Controller mit AOS-8 8.13.3.0, 8.10.0.23 und älter
- AOS-10 Access Points und Gateways mit 10.8.1.1, 10.7.2.6, 10.4.1.13 und älter
- Versionen ohne Herstellerunterstützung, etwa AOS-8 8.12
Behoben
- AOS-8 8.13.3.1 oder 8.10.0.24, AOS-10 10.8.1.2, 10.7.2.7 oder 10.4.1.14
Was jetzt zu tun ist
Die nächsten Schritte.
- 01
Im Verwaltungsportal oder in HPE Networking Central nachsehen, welche AOS-Version auf Access Points, Controllern und Gateways läuft.
- 02
Alle Geräte auf die korrigierte Version ihres Versionszweigs aktualisieren. Geräte mit nicht mehr unterstützten Versionen auf einen unterstützten Zweig umstellen.
- 03
Bis zum Update die Verwaltungsoberfläche und den SSH-Zugang nur aus einem eigenen Verwaltungsnetz erlauben, nie aus dem Gäste-WLAN oder dem Internet.
- 04
Den Steuerungsport UDP 8211 per Firewall nur zwischen Access Points und Controllern zulassen.
- 05
Die Protokollierung der Geräte einschalten und auf ungewöhnliche Anmeldungen oder Neustarts achten.
Unterstützung
Unsicher, ob Sie betroffen sind?
Wir prüfen Ihre Systeme, spielen die Updates ein und suchen nach Spuren eines Angriffs. Sie bekommen eine klare Antwort: betroffen oder nicht. Betreuungskunden müssen nichts tun, wir kümmern uns bereits darum.
Veröffentlicht am 22. Oktober 2026. Grundlage: HPE Security Bulletin HPESBNW05162 · Safeguard · GBHackers. Von uns in eigenen Worten zusammengefasst; verbindlich sind die Hinweise des Herstellers. Alle Sicherheitswarnungen
Passend dazu