HPE Aruba Networking est la division réseau d’entreprise de Hewlett Packard Enterprise, éditrice du système ArubaOS qui pilote points d’accès et contrôleurs Wi-Fi, ainsi que de ClearPass Policy Manager, la plateforme de contrôle d’accès réseau (NAC) utilisée pour authentifier postes et objets connectés. Le 23 octobre 2026, l’éditeur a publié un correctif couvrant 74 vulnérabilités, dont huit classées en gravité maximale : elles permettent une exécution de code à distance ou un contournement d’authentification sans qu’aucune action de la victime ne soit nécessaire, selon BleepingComputer.
Ce lot de correctifs fait l’objet de l’avis CERTFR-2026-AVI-1369, publié le même jour par le CERT-FR, qui recense l’ensemble des CVE touchant ArubaOS et ClearPass Policy Manager.
Que sait-on des failles critiques de HPE Aruba Networking ? #
Les huit vulnérabilités les plus graves touchent les branches AOS-8 et AOS-10, le logiciel qui pilote les contrôleurs et points d’accès Aruba. Elles combinent plusieurs familles de failles : contournement d’authentification menant à une exécution de code, injection de commandes sans authentification, dépassement de tampon et injection SQL débouchant elles aussi sur une exécution de code à distance. HPE indique que ces failles sont exploitables à distance, sans privilège préalable, avec une faible complexité et sans interaction de la victime, ce qui en fait des cibles de choix pour un attaquant qui scanne Internet de façon opportuniste.
| CVE | Type de faille | Composant |
|---|---|---|
| CVE-2026-79844 | Contournement d’authentification → RCE | AOS-10 |
| CVE-2026-79845 | Contournement d’authentification (protocole PAPI) | AOS-10 |
| CVE-2026-79846 | Injection de commandes non authentifiée | AOS-8 |
| CVE-2026-79847 | Dépassement de tampon non authentifié → RCE | AOS-10 |
| CVE-2026-79848 | Injection SQL non authentifiée → RCE | AOS-8 |
| CVE-2026-79849 | Injection SQL non authentifiée → RCE | AOS-8 |
| CVE-2026-79850 | Contournement d’authentification → RCE | AOS-8 |
| CVE-2026-79851 | Dépassement de tampon non authentifié → RCE | AOS-10 |
Quelles versions d’ArubaOS et de ClearPass sont concernées ? #
Selon l’avis du CERT-FR, le correctif couvre les versions suivantes :
- ArubaOS 10 : 10.4.x antérieures à 10.4.1.14, 10.7.x antérieures à 10.7.2.7, 10.8.x antérieures à 10.8.1.2.
- ArubaOS 8 : 8.10.x antérieures à 8.10.0.24, 8.13.x antérieures à 8.13.3.1.
- ClearPass Policy Manager : 6.11.x antérieures à 6.11.16, 6.14.x antérieures à 6.14.1.
Au-delà des huit failles maximales, l’ensemble du lot touche aussi la confidentialité et l’intégrité des données, le déni de service à distance, le SSRF, l’injection de scripts (XSS) et l’élévation de privilèges, pour un total de 74 CVE corrigées en une seule campagne. Ce type de lot massif n’est pas isolé chez les équipementiers réseau : des failles critiques comparables ont récemment touché Cisco Nexus NX-OS et SonicWall SMA1000.
Une exploitation active a-t-elle déjà été observée ? #
Non, pas à ce stade. HPE précise ne pas avoir connaissance de discussion publique ni de code d’exploitation visant ces vulnérabilités, et aucune preuve de concept n’a été publiée au moment de la rédaction. Cette fenêtre, avant qu’un exploit ne circule, est précisément celle où l’application rapide du correctif a le plus de valeur : une fois une preuve de concept publiée, le délai entre divulgation et exploitation de masse se compte souvent en heures pour ce type de faille exposée sur Internet.
Comment se protéger ? #
- Mettez à jour ArubaOS vers 10.4.1.14, 10.7.2.7 ou 10.8.1.2, et vers 8.10.0.24 ou 8.13.3.1 selon votre branche ; mettez à jour ClearPass Policy Manager vers 6.11.16 ou 6.14.1.
- En attendant le déploiement du correctif, restreignez l’accès aux interfaces de gestion CLI et web à un segment réseau dédié (VLAN d’administration), comme le recommande HPE.
- Complétez cette restriction par des règles de pare-feu de couche 3 et plus, afin qu’aucune interface d’administration ne reste joignable depuis le réseau utilisateur ou depuis Internet.
- Consultez l’avis CERTFR-2026-AVI-1369 pour la liste complète des 74 CVE et vérifier si d’autres produits Aruba déployés chez vous sont concernés.
- Suivez l’ensemble des CVE touchant vos équipements réseau avec notre base de données de CVE, et priorisez vos correctifs selon votre exposition réelle avec notre calculateur de score CVSS.
L’avis de l’analyste #
Avec 74 CVE corrigées en une fois, la tentation est de tout traiter en bloc. Ne le faites pas : triez d’abord les huit failles sans authentification et à faible complexité, ce sont elles qui seront ciblées en premier si un exploit sort, et elles seules justifient une fenêtre de maintenance en urgence. Le reste du lot peut suivre le cycle normal de patch management, sauf si l’un des composants concernés est directement exposé sur Internet.
Côté détection, le signal le plus fiable reste l’anormal : requêtes HTTP vers l’interface de gestion depuis des adresses IP externes ou inhabituelles, erreurs applicatives répétées évoquant une tentative d’injection (SQL ou commandes), ou redémarrages inattendus des contrôleurs pouvant trahir un dépassement de tampon raté. Passez aussi en revue les journaux d’authentification de ClearPass à la recherche de comptes créés ou modifiés hors procédure.
Le piège classique sur ce genre de lot massif : mettre à jour les contrôleurs centraux mais oublier les points d’accès autonomes ou les sites distants qui tournent encore une ancienne version locale. Après correctif, vérifiez que la version effective de chaque équipement, remontée par la console de supervision, correspond bien à celle annoncée, et pas seulement la version du paquet de mise à jour poussé.
Points clés #
- HPE Aruba Networking corrige 74 vulnérabilités dans ArubaOS et ClearPass Policy Manager le 23 octobre 2026, dont huit de gravité maximale permettant une exécution de code à distance sans authentification.
- Les failles touchent ArubaOS 8 (branches 8.10 et 8.13) et ArubaOS 10 (branches 10.4, 10.7 et 10.8), ainsi que ClearPass Policy Manager 6.11 et 6.14.
- Aucune exploitation active ni preuve de concept publique n’est signalée à ce jour, selon HPE et BleepingComputer.
- Le CERT-FR a publié le même jour l’avis CERTFR-2026-AVI-1369 recensant l’ensemble des CVE concernées.
- En attendant la mise à jour, isolez les interfaces de gestion CLI et web sur un segment réseau dédié et surveillez les journaux d’authentification de ClearPass.