Swiss KMU Cyber-Alert: HPE Aruba Switches – Verwaltung ohne Anmeldung angreifbar
HPE hat kritische Schwachstellen in Aruba-Switches mit AOS-S veröffentlicht. Ein Angreifer kann die Web-Verwaltung ohne Anmeldung umgehen oder über eine weitere Lücke Code auf dem Switch ausführen. Unternehmen mit Aruba-Switches sollten ihren IT-Dienstleister kurzfristig prüfen lassen, ob AOS-S 16.11.0032 installiert ist.
Was ist passiert?
HPE veröffentlichte am 6. Oktober 2026 ein Sicherheitsupdate für AOS-S. CVE-2026-76742 ermöglicht einem nicht angemeldeten entfernten Angreifer den Zugriff auf die Web-Verwaltung. CVE-2026-76744 umfasst Pufferüberläufe, durch die ein nicht angemeldeter entfernter Angreifer beliebigen Code ausführen kann. Beide Schwachstellen sind mit CVSS 9.8 bewertet.
Könnte mein Unternehmen betroffen sein?
Betroffen sind HPE-Aruba-Switches mit AOS-S 16.11.0031 oder älter. Diese Switches können in normalen Büro-, Filial- oder Schulungsnetzen eingesetzt werden. Entscheidend ist nicht nur das Modell, sondern die tatsächlich installierte AOS-S-Version.
Was sollten Sie jetzt tun?
Beauftragen Sie Ihren IT-Dienstleister, die Switch-Inventarliste und die Firmwarestände zu prüfen und betroffene Geräte auf AOS-S 16.11.0032 oder neuer zu aktualisieren. Bis zum Update empfiehlt HPE, CLI und Web-Verwaltung auf ein separates Layer-2-Managementnetz beziehungsweise geeignete Firewall-Regeln zu beschränken.
Wie dringend ist es?
Dringend. HPE kennt derzeit keine öffentliche Diskussion, keinen Exploit-Code und keine bestätigte aktive Ausnutzung. Da die kritischen Angriffswege jedoch keine Anmeldung erfordern und die Switch-Verwaltung betreffen, sollte die Prüfung nicht bis zum nächsten regulären Wartungszyklus warten.
Informationen für Ihren IT-Dienstleister
Advisory: HPESBNW05156. Kritische CVEs: CVE-2026-76742 und CVE-2026-76744. Betroffen: AOS-S 16.11.0031 und älter. Behoben ab AOS-S 16.11.0032. Management-Zugänge bis zur Aktualisierung auf dedizierte Netze begrenzen.
