Hewlett Packard Enterprise (HPE) ha lanzado actualizaciones de seguridad destinadas a subsanar 72 vulnerabilidades en el sistema operativo ArubaOS, también conocido como AOS. Entre ellas destacan ocho fallos de máxima gravedad relacionados con la omisión de autenticación y la ejecución de código.
ArubaOS es el sistema que sustenta la infraestructura inalámbrica empresarial de Aruba Networking, lo que incluye controladores de movilidad, puntos de acceso, controladores y dispositivos de puerta de enlace.
Las ocho vulnerabilidades de máxima severidad corregidas afectan a varias versiones del software AOS-8 y AOS-10. Según la información publicada, actores maliciosos remotos podrían explotarlas sin contar con privilegios, mediante ataques de baja complejidad que no requieren la interacción del usuario.
HPE ha advertido a sus clientes de que apliquen los parches cuanto antes y ha facilitado medidas de mitigación, entre las que se incluye restringir el acceso a las interfaces de gestión de AOS.
Se insta encarecidamente a los clientes a parchear sus instancias debido a la complejidad, amplitud e impacto de estas vulnerabilidades.
En el mismo aviso, la compañía recomienda limitar las interfaces de gestión web y de línea de comandos (CLI) a un segmento o VLAN dedicada de capa 2, o bien controlarlas mediante políticas de firewall en capa 3 y superiores, junto con controles de contabilidad que permitan rastrear y registrar la actividad de los usuarios y el uso de recursos.
La empresa ha señalado que, hasta la fecha, no ha encontrado código de explotación de prueba de concepto disponible públicamente ni indicios de que estas vulnerabilidades estén siendo explotadas en la naturaleza.
HPE Networking no tiene conocimiento de ningún debate público ni código de explotación dirigido a las vulnerabilidades enumeradas en la fecha de publicación de este aviso.
La compañía tiene antecedentes recientes de corrección de fallos graves. En junio de 2025 parcheó ocho vulnerabilidades críticas en StoreOnce que permitían la omisión de autenticación y la ejecución remota de código. Un mes después advirtió de credenciales codificadas de forma rígida en los puntos de acceso Aruba Instant On que podrían permitir a los atacantes eludir la autenticación de los dispositivos.
En enero de 2025, la Agencia de Ciberseguridad e Infraestructura de Seguridad de Estados Unidos (CISA) señaló una vulnerabilidad de máxima severidad en HPE OneView que estaba siendo explotada en ataques. Más recientemente, HPE alertó de fallos críticos que permitían restablecer contraseñas de administrador y ejecutar código de forma remota en dispositivos AOS-CX sin parchear.
HPE cuenta con más de 61.000 empleados en todo el mundo y presta servicios y productos a más de 55.000 clientes empresariales, entre ellos el 90 % de las empresas del índice Fortune 500.
Contexto adicional sobre la explotación de credenciales
Un análisis complementario advierte de que las puntuaciones globales de prevención pueden ocultar lo que ocurre después de un acceso inicial. Cuando los atacantes emplean credenciales válidas, la capacidad de prevención disminuye de forma notable. El informe Blue Report 2026 mide las defensas técnica por técnica a partir de 338 millones de simulaciones ejecutadas en entornos de producción de clientes.
Deja una respuesta