HPE เร่งแก้ 72 ช่องโหว่ใน Aruba หลังพบระดับวิกฤตกว่า 30 รายการ

HPE เปิดตัวแพตช์ความปลอดภัยเพื่อแก้ไขช่องโหว่รวม 72 รายการในระบบปฏิบัติการไร้สาย AOS-8 และ AOS-10 ของผลิตภัณฑ์เครือข่าย Aruba เมื่อสัปดาห์ที่ผ่านมา โดยในจำนวนนี้มีช่องโหว่ที่ถูกจัดอยู่ในระดับวิกฤต (critical-severity) ถึง 33 รายการ

การอัปเดตครั้งนี้มุ่งเน้นการแก้ไขข้อบกพร่องที่มีความรุนแรงสูงสุด 8 รายการ ได้แก่ CVE-2026-79844, CVE-2026-79845, CVE-2026-79846, CVE-2026-79847, CVE-2026-79848, CVE-2026-79849, CVE-2026-79850 และ CVE-2026-79851

หากผู้โจมตีประสบความสำเร็จในการเจาะระบบผ่านช่องโหว่เหล่านี้ จะสามารถรันโค้ดจากระยะไกล (RCE) โดยไม่ต้องผ่านการตรวจสอบสิทธิ์ รวมถึงข้ามการตรวจสอบสิทธิ์เพื่อรับสิทธิ์ผู้ดูแลระบบ รันคำสั่งตามอำเภอใจ และเข้าควบคุมระบบที่ได้รับผลกระทบได้อย่างสมบูรณ์

HPE Networking ได้ออกแพตช์แก้ไขในเวอร์ชัน AOS 8.10.0.24, 8.13.3.1, 10.4.1.14, 10.7.2.7 และ 10.8.1.2 เป็นที่เรียบร้อยแล้ว ซึ่งครอบคลุมการใช้งานในผลิตภัณฑ์ประเภท mobility conductor, controller, gateway และ access point

สำหรับปัญหาความรุนแรงระดับวิกฤตส่วนที่เหลือซึ่งได้รับการแก้ไขในรอบนี้ อาจนำไปสู่การทำ RCE, การรันคำสั่ง, การเปิดเผยข้อมูล, การดัดแปลงไฟล์ และการเข้าควบคุมระบบทั้งหมดได้เช่นกัน ตามรายละเอียดที่ HPE ระบุไว้ใน advisory ของบริษัท

นอกจากนี้ HPE ยังได้แก้ไขช่องโหว่ระดับความรุนแรงสูงอีก 31 รายการ ซึ่งมีมากกว่าสิบรายการที่โจมตีได้โดยไม่ต้องผ่านการตรวจสอบสิทธิ์ พร้อมทั้งแก้ไขข้อบกพร่องระดับความรุนแรงปานกลาง 8 รายการ และระดับต่ำอีก 1 รายการ โดยฮาร์ดแวร์และโซลูชันทั้งหมดที่รันบนระบบปฏิบัติการไร้สายเวอร์ชันที่มีปัญหาจะได้รับผลกระทบในลักษณะเดียวกัน เพื่อความปลอดภัย HPE Networking แนะนำให้ผู้ใช้งานจำกัดการเข้าถึง CLI และอินเทอร์เฟซการจัดการเว็บไว้ในเซกเมนต์ Layer 2/VLAN ที่แยกเฉพาะ หรือควบคุมผ่านนโยบายไฟร์วอลล์ตั้งแต่ Layer 3 ขึ้นไป พร้อมทั้งเพิ่มระบบบันทึกบัญชีเพื่อติดตามกิจกรรมของผู้ใช้อย่างใกล้ชิด

แม้ในขณะนี้ทางบริษัทจะยังไม่พบรายงานการนำช่องโหว่ดังกล่าวไปใช้ในการโจมตีจริง แต่ได้แจ้งเตือนให้ลูกค้าทุกรายดำเนินการติดตั้งแพตช์อัปเดตโดยเร็วที่สุดเพื่อป้องกันความเสี่ยงที่อาจเกิดขึ้น