Het NCSC heeft advisory NCSC-2026-0413 gepubliceerd over negen kwetsbaarheden in de HPE Networking AOS-Switch (AOS-S), de netwerksoftware die draait op switches van HPE Networking, beter bekend onder de oudere naam HPE Aruba Networking. Zes van de negen fouten hebben een CVSS-score tussen de 9 en 9,8, en zitten onder meer in de managementinterface en API van AOS-S.
Het grootste risico zit in twee kwetsbaarheden in die managementinterface: CVE-2026-76742 en CVE-2026-76743, beide met een CVSS-score van 9,8. Ze laten een niet-geauthenticeerde aanvaller van buitenaf authenticatiecontroles omzeilen en toegang krijgen tot het systeem. Voor CVE-2026-76743 geldt wel dat misbruik alleen lukt onder voorwaarden die HPE niet nader specificeert.
Ook CVE-2026-76744 scoort 9,8. Het gaat om een bufferoverflow waarmee een ongeauthenticeerde aanvaller op afstand willekeurige code op het apparaat kan uitvoeren. CVE-2026-76745 (CVSS 9,6) is vergelijkbaar maar vereist dat de aanvaller zich op een aangrenzend netwerk bevindt; misbruik leidt tot geheugencorruptie en eveneens tot het uitvoeren van willekeurige code. Twee andere bufferoverflows, CVE-2026-76746 (CVSS 9,3) en CVE-2026-76747 (CVSS 9,1), kunnen leiden tot het lekken van gevoelige informatie of een denial-of-service. De resterende drie kwetsbaarheden, CVE-2026-76748, CVE-2026-76741 en CVE-2026-76749, scoren lager: 8,8 voor de eerste en 6,5 voor de andere twee.
Succesvol misbruik van deze fouten kan volgens het NCSC de vertrouwelijkheid, integriteit en beschikbaarheid van het getroffen systeem aantasten. HPE heeft updates uitgebracht voor AOS-S, met details in het bijbehorende beveiligingsbulletin.
Het NCSC adviseert om managementinterfaces sowieso nooit rechtstreeks aan het internet te koppelen, maar alleen beschikbaar te stellen op een apart managementnetwerk. Dat beperkt het aanvalsoppervlak aanzienlijk, ook voordat een patch is doorgevoerd. IP-allowlisting helpt daarnaast om de AOS-S-interface alleen voor vertrouwde clients bereikbaar te maken.
Voor Nederlandse organisaties met HPE Aruba-switches is dit een update die niet kan wachten. Met meerdere fouten die ongeauthenticeerde toegang of code-uitvoering mogelijk maken, telt elke dag dat de managementinterface onbeschermd open staat als risico. Controleer of uw AOS-S-apparaten de nieuwste firmware draaien en zet de managementinterface, als dat nog niet lukt, in elk geval achter een apart netwerk met toegang beperkt tot bekende IP-adressen.
Bron: NCSC-NL Advisories
Wat betekent dit voor jouw bedrijf?
Beheert u HPE Aruba-switches met AOS-S? Installeer de firmware-update uit HPE-beveiligingsbulletin hpesbnw05156en_us zo snel mogelijk, met voorrang voor CVE-2026-76742, CVE-2026-76743 en CVE-2026-76744 (CVSS 9,8). Zet de managementinterface sowieso nooit rechtstreeks aan het internet, maar alleen op een apart, met IP-allowlisting afgeschermd managementnetwerk.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.