HPEの無線LAN用OS（AOS-10・AOS-8）の脆弱性（CVE-2026-79844ほか）
公開
Hewlett Packard Enterprise（HPE）は2026年10月22日、無線 LAN のコントローラーとアクセスポイントで使う OS「AOS-10」「AOS-8」に、複数の脆弱性があると公表しました。 CVE は72件で、CVSS v3.1 の基本値が最大の10.0のものが8件あります（HPE の2026年10月22日の発表）。 HPE Networking（旧 Aruba）の無線 LAN の機器を使っている会社に関係します。
公表された内容
- 対象の製品：Mobility Conductor・Mobility Controller・Mobility Gateway（HPE Networking Central で管理するもの）・AOS-10 のアクセスポイント・AOS-8 の Instant アクセスポイント
- CVE：CVE-2026-79844〜79895、CVE-2026-79955・79956、CVE-2026-95704〜95721 の72件
- 深刻度：CVSS v3.1 の基本値10.0（CVE-2026-79844〜79851）。CVE-2026-79844〜79876 の33件が「緊急（Critical）」、残りは「重要（High）」とされています
- 悪用の有無：公表の時点で、これらを狙った公開の議論や攻撃コードは把握していないとしています。そのうえで、すぐに修正版を当てるよう強く勧めています
対象の版と修正版（HPE の発表）
| 系列 | 対象の版 | 修正版 |
|---|---|---|
| AOS-10.8 | 10.8.1.1 以前 | 10.8.1.2 以降 |
| AOS-10.7 | 10.7.2.6 以前 | 10.7.2.7 以降 |
| AOS-10.4 | 10.4.1.13 以前 | 10.4.1.14 以降 |
| AOS-8.13 | 8.13.3.0 以前 | 8.13.3.1 以降 |
| AOS-8.10 | 8.10.0.23 以前 | 8.10.0.24 以降 |
- 保守が終わった版（End of Maintenance）は影響を受けるものとみなされ、サポートが終わった版（End of Support）は評価されていないため、影響を受けうるものとして扱うよう書かれています。サポート中の版へ移るよう勧めています
- 回避策：管理用の CLI と Web の管理画面を、専用のネットワーク（レイヤー2 のセグメントや VLAN）に限るか、ファイアウォールで接続元を絞る。利用者の操作の記録（アカウンティング）を取る。これらは修正版の代わりにはならないとしています
中小企業が今日からできること
- 社内の無線 LAN の機器のメーカーと版を確かめる：コントローラーやアクセスポイントが HPE（Aruba）のものか、OS の版が上の表の対象かを、管理画面か保守の会社への問い合わせで確かめる
- 修正版を当てる日を決める：対象なら修正版へ更新する。無線が止まる時間が出るので、業務の少ない時間を選び、保守の会社に作業を頼むなら今週中に連絡する
- 管理画面に入れる場所を絞る：無線 LAN の機器の管理画面が、社員用や来客用のネットワーク、インターネットから開けないかを確かめ、管理用のネットワークからだけにする
- サポートが切れた機器を洗い出す：保守やサポートが終わった版のまま使っている機器は、修正版が出ないことがある。買い替えや更新の計画を立てる