HPE, Aruba ağ ürünlerinin kablosuz ağ işletim sistemleri olan AOS-8 ve AOS-10'daki 72 güvenlik açığını gidermek için acil bir güvenlik güncelleme paketi yayınladığını duyurdu. Bu güncellemeler, "kritik" olarak sınıflandırılan 33 güvenlik açığının yanı sıra "maksimum şiddetli" (max-severity) olarak tanımlanan sekiz güvenlik açığını da kapsamaktadır.
Güvenlik risklerinin doğası
En ciddi güvenlik açıkları, yetkisiz saldırganların uzaktan kod yürütmesine (RCE) ve yönetici yetkilerine erişmek için kimlik doğrulama süreçlerini atlamasına olanak tanıyabilecek bir dizi tanımlayıcı (CVE-2026-79844'ten CVE-2026-79851'e kadar) etrafında toplanmaktadır. Bu tür güvenlik açıkları, saldırganın rastgele komutlar çalıştırmasına izin vererek etkilenen sistemlerin ele geçirilmesine ve tam kontrolün sağlanmasına yol açabilir.
Sekiz büyük güvenlik açığına ek olarak güncellemeler, "yüksek" şiddetli 31, "orta" şiddetli 8 ve "düşük" şiddetli bir güvenlik açığını da içermektedir. Bu açıkların riskleri; hassas bilgilerin ifşa edilmesi, dosyaların manipüle edilmesi ve sistem yönetimine yetkisiz erişim arasında değişmektedir.
Etkilenen sistemler ve ürünler
HPE, düzeltmeleri AOS işletim sistemlerinin aşağıdaki sürümlerinde kullanıma sunmuştur:
- AOS-8: 8.10.0.24 ve 8.13.3.1 sürümleri
- AOS-10: 10.4.1.14, 10.7.2.7 ve 10.8.1.2 sürümleri
Etki; denetleyiciler (Controllers), ağ geçitleri (Gateways), erişim noktaları (Access Points) ve bu sistemlerle çalışan sanal makineler (VM'ler) dahil olmak üzere bu sistemlerle uyumlu tüm cihazları ve çözümleri kapsamaktadır.
Ağı güvence altına almak için ne yapılmalı?
HPE, şu ana kadar bu güvenlik açıklarının gerçek dünyada istismar edildiğine dair herhangi bir bulguya rastlanmadığını belirtse de müşterilerini güncellemeleri derhal uygulamaya çağırdı. Herhangi bir saldırının başarı olasılığını azaltmak için şirket şu uygulamaların takip edilmesini önerdi:
- Yönetim izolasyonu: Komut satırı (CLI) veya web arayüzü üzerinden yönetim arayüzlerini kısıtlayın ve bunları izole edilmiş bir ağ segmenti (Dedicated VLAN/Layer 2 segment) ile sınırlandırın.
- Güvenlik duvarı üzerinden kontrol: Erişimi kontrol etmek için üçüncü katman (Layer 3) ve üzerindeki güvenlik duvarı politikalarını kullanın.
- Denetim ve izleme: Ağ içindeki tüm kullanıcı etkinliklerini ve kaynak kullanımını takip etmek ve kaydetmek için muhasebe kontrollerini (Accounting controls) etkinleştirin.