Le Centre gouvernemental de veille, d’alerte et de réponse aux attaques informatiques (CERT-FR), rattaché à l’Agence nationale de la sécurité des systèmes d’information (ANSSI), a mis en avant le 26 octobre 2026 plusieurs vulnérabilités critiques affectant des équipements réseau HPE Aruba Networking. Son bulletin hebdomadaire de sécurité recense notamment des failles du système d’exploitation Aruba AOS dont certaines atteignent le score maximal de gravité CVSS, soit 10 sur 10.
Les risques recensés concernent les infrastructures sans fil et leurs fonctions d’administration. Parmi les conséquences techniques possibles figurent l’exécution de commandes à distance, le contournement de contrôles d’accès et la modification de données. La présence d’une vulnérabilité dans une version logicielle ne suffit toutefois pas à établir qu’une installation particulière a été compromise.
Des contrôleurs, passerelles et points d’accès concernés
Dans son avis CERTFR-2026-AVI-1369 du 23 octobre, le CERT-FR identifie plusieurs branches du système Aruba AOS : les versions 10.4 antérieures à 10.4.1.14, 10.7 antérieures à 10.7.2.7, 10.8 antérieures à 10.8.1.2, ainsi que les branches 8.10 antérieures à 8.10.0.24 et 8.13 antérieures à 8.13.3.1. L’avis vise également certaines versions de ClearPass Policy Manager, un logiciel de contrôle des accès au réseau.
Le bulletin de sécurité HPESBNW05162 publié par HPE le 22 octobre détaille les produits AOS concernés : contrôleurs de mobilité, passerelles, équipements de coordination et points d’accès sans fil. La vulnérabilité CVE-2026-79844, notée 10 sur 10, peut notamment permettre l’exécution de commandes à distance sans authentification préalable lorsque certaines conditions sont réunies. D’autres failles touchent les mécanismes d’authentification et la confidentialité des informations.
Des correctifs disponibles, une exposition à évaluer
HPE indique avoir publié des correctifs pour les branches AOS maintenues. L’éditeur recommande de migrer vers les versions 10.8.1.2, 10.7.2.7, 10.4.1.14, 8.13.3.1 ou 8.10.0.24, selon la branche installée. Les exploitants doivent vérifier le modèle, la version effectivement déployée et les éventuelles particularités signalées dans l’avis avant toute intervention.
En complément des mises à jour, HPE préconise de restreindre les interfaces de gestion à un segment réseau dédié ou à des accès filtrés par pare-feu, et de conserver des traces des activités d’administration. À la date de son bulletin du 22 octobre, l’entreprise déclarait ne pas avoir connaissance de code d’exploitation public visant les vulnérabilités recensées. Cette indication ne constitue pas une garantie sur leur exploitabilité ultérieure.
Pour les administrations, opérateurs et entreprises qui utilisent ces équipements, la priorité opérationnelle est d’inventorier les versions AOS en production, d’évaluer l’exposition des interfaces de gestion et de planifier les correctifs. Le CERT-FR rappelle dans son bulletin hebdomadaire que la priorisation des vulnérabilités doit s’inscrire dans une analyse des risques propre à chaque système d’information.
