HPE heeft 72 kwetsbaarheden verholpen in Networking AOS-8 en AOS-10, de software achter zijn Mobility Conductors, Mobility Controllers, Mobility Gateways en Access Points. Dat meldt het Nationaal Cyber Security Centrum in advisory NCSC-2026-0454. Van de 72 lekken zijn er 33 als kritiek aangemerkt.
Zeven kwetsbaarheden scoren de maximale 10,0 op de CVSS v3-schaal: CVE-2026-79844, 79846, 79847, 79848, 79849, 79850 en 79851. Ze zijn op afstand misbruikbaar zonder authenticatie en zonder dat een gebruiker iets moet doen, en kunnen leiden tot volledige code-uitvoering op het apparaat. Daarnaast scoren meerdere andere lekken 9,8, waaronder CVE-2026-79857 en CVE-2026-79860, twee fouten in het PAPI-protocol van AOS-8 die met speciaal geprepareerde UDP-pakketten zijn te misbruiken, ook zonder authenticatie. Dat kan leiden tot code-uitvoering met verhoogde rechten en in het ergste geval tot volledige overname van het systeem.
Van de 33 kritieke kwetsbaarheden zijn er 19 zonder enige authenticatie vanaf het netwerk te misbruiken. Nog eens 14 vereisen evenmin authenticatie, maar dan moet de aanvaller wel toegang hebben tot een netwerk dat direct aan het doelsysteem grenst. Voor CVE-2026-79844 en CVE-2026-79846 hangt misbruik mogelijk af van bijkomende voorwaarden die buiten de controle van de aanvaller liggen.
HPE meldt geen publiek beschikbare exploitcode en geen bevestigd actief misbruik. Dat is een opsteker, maar gezien het aantal kwetsbaarheden dat zonder authenticatie op afstand werkt, adviseert het NCSC om vooral de kritieke lekken met voorrang te verhelpen. Een upgrade is beschikbaar naar AOS-10.8.1.2, 10.7.2.7, 10.4.1.14, AOS-8.13.3.1 of 8.10.0.24, of een nieuwere versie binnen de betreffende releasetak.
Organisaties die HPE’s Mobility-infrastructuur draaien, kunnen het beste niet wachten op het volgende reguliere onderhoudsvenster. Breng de controllers en gateways eerst naar de genoemde versies en controleer vervolgens of de CLI- en webmanagementinterfaces rechtstreeks vanaf een kantoor- of gastennetwerk bereikbaar zijn. Zet ze zoveel mogelijk in een apart beheer-VLAN met eigen firewallregels, zodat alleen beheerders er bij kunnen.
Bron: NCSC-NL Advisories
Wat betekent dit voor jouw bedrijf?
Draait uw organisatie HPE Mobility Conductors, Controllers of Gateways? Update dan met voorrang naar AOS-10.8.1.2/10.7.2.7/10.4.1.14 of AOS-8.13.3.1/8.10.0.24, en zet de CLI- en webmanagementinterfaces achter een apart VLAN en firewallregels.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.