Alerte cyber pour PME suisses : switches HPE Aruba – administration accessible sans connexion
HPE a publié des vulnérabilités critiques dans les switches Aruba fonctionnant sous AOS-S. Un attaquant peut contourner la connexion à l’administration web ou exploiter une autre faille pour exécuter du code sur le switch. Les entreprises qui utilisent des switches Aruba devraient demander rapidement à leur prestataire informatique de confirmer l’installation d’AOS-S 16.11.0032.
Que s’est-il passé ?
Le 6 octobre 2026, HPE a publié une mise à jour de sécurité pour AOS-S. CVE-2026-76742 permet à un attaquant distant non authentifié d’accéder à l’administration web. CVE-2026-76744 regroupe des débordements de mémoire qui permettent à un attaquant distant non authentifié d’exécuter du code arbitraire. Les deux vulnérabilités obtiennent un score CVSS de 9.8.
Mon entreprise pourrait-elle être concernée ?
Les switches HPE Aruba équipés d’AOS-S 16.11.0031 ou d’une version antérieure sont concernés. Ce type de matériel peut être utilisé dans des réseaux de bureau, de succursales ou de centres de formation. Le point déterminant est la version AOS-S effectivement installée, pas seulement le modèle du switch.
Que faut-il faire maintenant ?
Demandez à votre prestataire informatique de contrôler l’inventaire des switches et les versions du logiciel, puis de mettre à jour les appareils concernés vers AOS-S 16.11.0032 ou une version ultérieure. Dans l’intervalle, HPE recommande de limiter l’accès CLI et web à un segment d’administration Layer 2 dédié ou au moyen de règles de pare-feu Layer 3.
Quel est le degré d’urgence ?
Urgent. HPE n’a connaissance à ce jour ni de discussions publiques, ni de code d’exploitation, ni d’attaques actives confirmées. Comme les scénarios critiques ne nécessitent aucune connexion et visent l’administration des switches, le contrôle ne devrait pas attendre le prochain cycle de maintenance ordinaire.
Informations pour votre prestataire informatique
Avis : HPESBNW05156. CVE critiques : CVE-2026-76742 et CVE-2026-76744. Versions concernées : AOS-S 16.11.0031 et antérieures. Correction : AOS-S 16.11.0032 et versions ultérieures. Limiter les accès d’administration à des réseaux dédiés jusqu’à la mise à jour.
