HPE Aruba の脆弱性（ArubaOS・AOS-8／AOS-10・2026年10月）｜修正版の早見表と、社内の無線 LAN が対象かの確認方法【随時更新】

最終更新：10 月 26 日 20:32（日本時間） 続報が出たら追記します。
すぐ見る：よくある疑問 ／ 対象の版と修正版の早見表 ／ Aruba の機器かと版の確認方法 ／ 問い合わせ文のひな形 ／ 技術的な詳細 ／ 経緯

この記事では、HPE Aruba の脆弱性（ArubaOS の AOS-8・AOS-10 の脆弱性）について、HPE のセキュリティ情報（HPESBNW05162）とその CSAF 版（機械で読める形の同じ発表）、CVE の記録だけをもとに、影響を受ける版と修正版、回避策、立場ごとにやることを整理します。あわせて、社内の無線 LAN が Aruba かと、その版の確認方法、保守会社に送る問い合わせ文のひな形を、この記事での整理として載せます。攻撃の手順の細かい情報は載せていません。

何が見つかったか

まず、出てくる機器の説明です。Aruba（アルバ）は、HPE（ヒューレット・パッカード エンタープライズ）の無線 LAN の製品の名前で、会社・病院・学校などで使われています。

AOS は、その無線 LAN の機器の中で動く OS（基本のソフト）です。たくさんのアクセスポイント（AP）をまとめて管理するコントローラ、ゲートウェイ、AP の中で動いています。AOS-8 と AOS-10 の 2 つの世代があります。

10 月 22 日の発表で分かっていることです。HPE によると、AOS-8 と AOS-10 に、あわせて 72 件の脆弱性があり、それを直した版が出ました。内容が複雑で広く、影響も大きいとして、HPE は更新を強く勧めています。

CVSS は、脆弱性の深刻さを 0 から 10 で表す共通の物差しです。72 件のうち 8 件は上限の 10.0 です。発表の値を数えると、残りも多くが 7.0 以上でした。細かい内容は、下の「技術的な詳細」にまとめています。

対象の版と修正版の早見表

HPE の発表の「Affected Software Version(s)」と「RESOLUTION」のとおりです。版の番号の頭の 2 つ（10.8 や 8.13 など）が系列です。

対象の機器の種類です。HPE は、モビリティ コンダクター、モビリティ コントローラ、モビリティ ゲートウェイ（HPE Networking Central で管理するもの）、AOS-10 の AP、AOS-8 の Instant AP を挙げています。発表の中の製品の一覧は例で、対象の版で動く機器・AP・仮想マシンは、一覧に無い型番でもすべて影響を受けるとしています。修正版は、HPE Networking のサポートポータルから入手します。

対象にならないものです。HPE は、上に挙げた製品と版のほかは、これらの脆弱性の影響を受けないとしています。Aruba のスイッチで使われる AOS-CX や、小規模向けの Instant On は、この発表の一覧に入っていません。「aruba cx 脆弱性」のように、スイッチの脆弱性を調べている場合は、HPE のセキュリティ情報の一覧で、スイッチの発表を別に確かめてください（この記事での整理）。

社内の無線 LAN が Aruba か、版はどこで見るか（確認方法）

無線 LAN の機器を自分では触らない会社向けにまとめたものです（この記事での整理）。無線 LAN の機器は、設置した会社が管理していて、使っている側からはメーカーが分からないことがよくあります。まず、Aruba かどうかの見当をつけます。

版を確かめる（Aruba の AP・コントローラの版の確認方法）

管理画面に入れる人がいる場合の確かめ方です（この記事での整理）。分からなければ、無理に操作せず、保守会社に聞いてください。

1. コントローラや Instant AP は、Web の管理画面の概要（ダッシュボード）や保守の画面に、動いている版が出る。コマンドの画面に入れるなら「show version」でも版が出る
2. クラウドの HPE Networking Central で管理している場合は、Central の画面の機器やファームウェアの一覧で、機器ごとの版を見られる
3. 出てきた番号の頭の 2 つで系列を見て、早見表に当てる。たとえば 8.10.0.23 なら 8.10 の系列で、8.10.0.24 以上への更新が要る
4. コントローラと AP の両方があるなら、両方の版を控える。確かめた日付と版を記録しておく

保守会社への問い合わせ文のひな形

無線 LAN の設置や保守を任せている会社に、そのまま送れる文面にしました（この記事での整理）。［　］の中は自社に合わせて埋めます。対象かどうかだけでなく、版と更新の予定日、更新までの守り方、費用の扱いまで一度に聞くのがこつです。

返事が来たあとの読み方です（この記事での整理）。

• 「Aruba ではない」「対象の機器は無い」 返事の日付と、使っている機器のメーカー・製品名を控えておく。次に同じような脆弱性が出たときに、確かめる手間が省ける。
• 「Instant On」「スイッチだけ」 この発表の対象外。ただ、それぞれの製品にも別の発表が出ることがあるので、更新の担当がいるかを確かめておく。
• 「対象。更新の予定あり」 予定日と、それまでの管理画面の守り方を確かめる。終わったら更新後の版を知らせてもらう。
• 「サポートが終わった版」 HPE は影響を受けうるものとして扱うよう求めている。更新か機器の入れ替えの見積もりを頼み、それまでは管理画面の守り方を固める。

次に読む：IPA が呼びかける、すぐ行う点検と対策 ／ ほかの会社の最近の事故と脆弱性の一覧

経緯

日付は、それぞれの発表や記録に書かれている日付です（米国の時間で書かれているため、日本時間では翌日になるものがあります）。

技術的な詳細（ネットワークの担当者向け）

ここからは、無線 LAN の機器を管理している担当者・保守会社のエンジニア向けです。HPE のセキュリティ情報 HPESBNW05162（rev.1）とその CSAF 版、CVE の記録に書かれた内容を、用語をそのまま使って並べます。

HPE によると、72 件の脆弱性には、認証の回避（authentication bypass）、コマンドインジェクション、SQL インジェクション、バッファオーバーフローなどが含まれます。脆弱性の多くは、HPE Networking の社内のセキュリティの調査で見つかったものです。発表では、製品群の名前は HPE Networking と書かれています。

残りの 64 件も、発表の値を数えると、多くが 7.0 以上でした。HPE の表の値を、この記事で数えた内訳です。

攻撃の起点（Attack Vector）についての補足です。72 件の中には、インターネットなど離れた場所からの攻撃（CVSS のベクトルで AV:N）を想定したものと、同じネットワークにつながっている相手からの攻撃（発表では adjacent・AV:A）を想定したものがあります。発表の値を数えると、後者は 25 件でした。社内の Wi-Fi やゲスト用の Wi-Fi につながった人が起点になりうる、という意味で、ネットワークの分け方も見直す理由になります（この記事での整理）。

悪用の状況です。HPE は、発表の時点で、これらの脆弱性を狙う公の議論や攻撃のコードは把握していないとしています。CVE の記録には、米国のサイバーセキュリティ・社会基盤安全保障庁（CISA）が加えた評価（SSVC）があり、CVE-2026-79844 では、悪用は確認されていない（Exploitation: none）、攻撃の自動化はしやすい（Automatable: yes）とされています。悪用が見つかっていなくても、自動化しやすい種類の脆弱性は、早めに更新しておくのが安全です（この記事での整理）。

番号についての注意です。HPE の発表と CSAF 版では、PAPI の認証の回避は CVE-2026-79845 です。一方、CVE の記録で同じ番号を 10 月 26 日に見たところ、別の会社の別の製品の記録になっていました。番号で調べるときは、HPE の発表の内容と照らしてください（この記事での整理）。

版の確認のコマンドです。コントローラや Instant AP のコマンドの画面（CLI）では「show version」で動いている版が出ます。HPE Networking Central で管理している場合は、Central の機器やファームウェアの一覧で機器ごとの版を見られます（この記事での整理。手順は上の確認方法の節）。

次に読む：Linux カーネルの未修正の脆弱性（ksmbd ほか） ／ サーバーの守りのソフト「SiteGuard Server Edition」の脆弱性

管理者がやること

HPE の発表の対策（修正版への更新と回避策）を、作業の順に並べたものです（順番と、発表に無い補足はこの記事での整理）。

1. コントローラ・ゲートウェイ・AP の一覧と、それぞれの AOS の版を書き出し、上の早見表で対象かを見る（この記事での整理）
2. 更新の前に、設定のバックアップを取り、無線 LAN が止まってもよい時間帯を決めて社内に知らせる（この記事での整理）
3. 同じ系列の修正版（10.8.1.2・10.7.2.7・10.4.1.14・8.13.3.1・8.10.0.24 以上）へ更新する。コントローラと AP の両方が対象なので、管理しているすべての機器が修正版になったかを確かめる（確かめ方はこの記事での整理）
4. 更新のあとに、社員の端末やゲスト用の Wi-Fi が普段どおりつながるか、認証や業務のシステムへの接続を確かめる（この記事での整理）
5. ほかの系列（保守やサポートが終わった版）なら、サポート中の版への更新を計画する。機器そのものが新しい版に対応しているかも、保守会社と確かめる（この記事での整理）

すぐに更新できない間の回避策（HPE の発表）

発表の Workaround の節の内容です。HPE は、攻撃される可能性を下げるために、コマンドと Web の管理画面に入れる範囲を、専用のネットワーク（レイヤー 2 のセグメントや VLAN）に限るか、レイヤー 3 以上のファイアウォールのルールで絞ること、あわせて、利用者の操作やリソースの使い方を記録して追えるようにすることを勧めています。

• 管理画面がインターネットから見えていないか 社外から無線 LAN の管理画面に入れる設定になっていないかを確かめる。入れるなら、更新が終わるまで止める（この記事での整理）。
• ゲスト用の Wi-Fi と管理のネットワークを分ける 来客用や店舗のお客さま向けの Wi-Fi から、機器の管理画面や社内のネットワークに届かないようにする。同じネットワークの相手からの攻撃を想定した脆弱性もあるため（この記事での整理）。
• 管理の操作の記録を残す 誰がいつ管理画面に入り、何を変えたかの記録が残る設定かを確かめる。HPE の回避策にも含まれる。

自社で見直すこと

無線 LAN の機器は、一度設置すると何年も同じ版のまま動き続けがちです。パソコンやサイトと違って、更新の知らせが社内に届きにくく、誰が更新するのかがあいまいになりやすいところです（この記事での整理）。

• ネットワークの機器も一覧にする 無線 LAN の AP・コントローラ、ルーター、スイッチ、ファイアウォールのメーカーと製品名、版、保守する会社を書き出しておく。今回のような発表が出たときに、すぐ当たりがつけられる。
• 管理画面に入れる場所を絞っておく 機器の管理画面は、社内の決まったネットワークからだけ入れるようにし、ゲスト用の Wi-Fi とは分けておく。脆弱性が見つかったときの被害を小さくできる。
• 保守の契約にファームウェアの更新が入っているかを確かめる 機器の版の更新が保守の範囲に入っているか、入っていないなら誰に頼むのか、サポートが終わる時期はいつかを決めておく。

ネットワークやサーバーの土台のソフトの脆弱性のほかの例は 「ISC BIND の複数の脆弱性」、続けて備える体制の考え方は 「ホームページの保守」 にまとめています。

作り方は 3 つ｜完成済み・自作・オーダーメイド

作り方はどれでも選べます。優劣ではなく、向いているケースが違います。

• オーダーメイドで作る（制作会社に依頼） 要件を渡せば設計から任せられます。自社に合わせて一から作りたい場合や、撮影・原稿まで任せたい場合に向きます。SITE PICK でもオーダーメイド制作の相談を受け付けています。

  オーダーメイド制作を相談する オーダーメイド制作との違い

• 自分で作る（自作） 費用は抑えられます。そのかわり、使っている機器やソフトの脆弱性の情報を追い、更新を公開後もずっと自分で続けることになります。
• 完成済みのサイトから選ぶ（完成済み） 構成・更新の仕組み・入口が組まれた状態を実物で確かめ、社名・写真・文章を差し替えて公開します。完成形を先に確認してから決めたい場合に向きます。この記事の集計は、その実際のサイトのデータです。

  完成済みのサイトを実物で見る