HPE corrige 72 failles ArubaOS, dont huit de gravité maximale

Un ensemble important et un sous-groupe prioritaire

BleepingComputer rapporte que HPE a corrigé 72 vulnérabilités ArubaOS, dont huit de gravité maximale. Le total et le sous-ensemble répondent à deux questions différentes. Il ne faut pas attribuer le niveau maximal à chaque faille de l’avis.

Selon BleepingComputer, les huit failles de gravité maximale sont attaquables à distance, sans privilèges ni interaction utilisateur. Ces conditions justifient de prioriser l’analyse d’applicabilité. Elles ne prouvent pas une exploitation contre une organisation donnée.

BleepingComputer décrit CVE-2026-79844 comme un contournement d’authentification menant à une exécution de code à distance dans AOS-10. Le contexte produit doit accompagner la description. Un titre général sur le réseau sans fil ne dispense pas d’identifier le logiciel installé.

Brandefense identifie CVE-2026-79844 à CVE-2026-79851 comme les huit failles notées CVSS 10.0. Cette plage permet de relier le sous-ensemble aux identifiants. Elle ne remplace pas la vérification d’applicabilité produit par produit.

Partir de l’équipement et de sa branche

L’avis HPE couvre notamment Mobility Conductors, Controllers, Gateways et Access Points. L’inventaire dépasse donc une seule étiquette d’équipement. Il faut relever produit et branche logicielle avant de choisir une version cible.

Pour une branche précise, HPE indique 10.8.1.2 et les versions supérieures comme corrigées pour AOS-10.8.x.x. La qualification de branche est essentielle. Cette version ne constitue pas une destination universelle pour tous les appareils couverts.

Brandefense cite 8.13.3.1 et 8.10.0.24 parmi les versions corrigées. Ce sont des options relevant de branches différentes, pas des étapes successives imposées à toutes les installations. Le dossier de changement devrait préciser la branche traitée et la pertinence de la cible choisie.

HPE indique que les vulnérabilités ont généralement été découvertes par sa recherche de sécurité interne. Ce constat décrit le contexte de découverte. Ni la note maximale ni l’origine interne ne prouvent une exploitation active ou la disponibilité d’un code public.

Une revue conditionnelle pour les réseaux algériens

La pertinence locale concerne les organisations utilisant réellement les produits affectés. Les faits n’établissent ni installation ni victime algérienne. Commencer par déterminer l’applicabilité, plutôt que supposer que tout réseau sans fil est concerné.

Organiser la décision autour du produit, de la branche installée, de la version corrigée pertinente et du responsable du changement. Examiner aussi l’accessibilité des interfaces d’administration et les personnes autorisées. Ce sont des questions de revue, pas des constats sur un réseau algérien particulier.

Préparer un plan qui désigne les équipements modifiés et la validation du service après intervention. Si la branche ou le produit restent incertains, résoudre cette lacune d’inventaire avant d’annoncer une correction complète.

Transformer l’avis en carte d’applicabilité

Le volume annoncé justifie l’attention ; les détails de version déterminent l’action. Garder ensemble le sous-ensemble de gravité maximale, les produits couverts et les versions propres à chaque branche. La sortie utile est une décision documentée pour les équipements réels, sans inventer de preuve d’exploitation.

Questions Fréquemment Posées

Sources et lectures complémentaires

• BleepingComputer
• HPE Networking
• Brandefense
• NewsBites, volume XXVIII – numéro 80, 27 octobre 2026 | SANS NewsBites — SANS Institute