HPE Networking AOS : des correctifs critiques pour les équipements réseau

Des correctifs contre plusieurs possibilités de prise de contrôle

HPE Networking a publié des mises à jour de sécurité pour AOS-8 et AOS-10, les systèmes logiciels de certains de ses équipements réseau. Le bulletin de l’éditeur classe l’ensemble au niveau critique. Plusieurs vulnérabilités peuvent permettre à un attaquant distant, sans authentification (sans avoir à se connecter avec un compte), d’exécuter des commandes ou du code sur un équipement.

Les conditions varient selon la faille. Certaines supposent des préconditions indépendantes de l’attaquant ; d’autres nécessitent un accès depuis un réseau adjacent (une proximité réseau avec l’équipement), des privilèges (des droits d’accès particuliers) ou une intervention de l’utilisateur. Il ne faut donc pas attribuer le même scénario d’attaque à toutes les vulnérabilités du bulletin.

Les équipements et versions à faire vérifier

Le périmètre comprend les Mobility Conductors (systèmes de gestion centralisée des contrôleurs), Mobility Controllers (contrôleurs du réseau sans fil), Mobility Gateways (passerelles réseau) gérées par HPE Networking Central, les points d’accès AOS-10 et les points d’accès Instant AOS-8 (équipements de connexion sans fil), sous réserve des précisions propres à chaque vulnérabilité.

Dans les branches couvertes, les versions affectées vont jusqu’à :

• AOS-10.8 : 10.8.1.1 comprise ;
• AOS-10.7 : 10.7.2.6 comprise ;
• AOS-10.4 : 10.4.1.13 comprise ;
• AOS-8.13 : 8.13.3.0 comprise ;
• AOS-8.10 : 8.10.0.23 comprise.

HPE exclut les autres produits et versions non listés, mais formule une réserve importante pour les anciennes versions. Celles en fin de maintenance sont présumées affectées, sauf indication contraire, et ne sont pas couvertes par ce bulletin. Pour celles en fin de support, l’exposition n’a pas été évaluée : elles doivent être considérées comme potentiellement concernées. HPE recommande leur passage vers une version prise en charge.

Des mises à jour disponibles depuis l’annonce du 22 octobre

Le bulletin final est daté du 22 octobre 2026 ; le CERT-FR l’a relayé le 23 octobre. HPE indique que les versions corrigées peuvent être téléchargées sur son portail de support.

À la date de publication du bulletin, l’éditeur déclarait ne pas avoir connaissance de discussions publiques ou de code d’exploitation visant ces vulnérabilités. Cette déclaration est datée : elle ne constitue pas une garantie d’absence d’attaque. HPE demande néanmoins fortement d’appliquer les correctifs, compte tenu de l’étendue et des conséquences des failles. Aucune date limite calendaire n’est fixée.

Les actions à confier à votre responsable réseau

• Recenser les équipements concernés, leur branche logicielle et leur version exacte, y compris les installations anciennes.
• Préparer la mise à jour adaptée à chaque branche : 10.8.1.2, 10.7.2.7, 10.4.1.14, 8.13.3.1 ou 8.10.0.24, ou une version ultérieure correspondante, selon les recommandations du bulletin.
• Traiter séparément les versions hors maintenance ou hors support, en organisant leur passage vers une version prise en charge.
• Réduire les accès d’administration : HPE recommande de réserver les interfaces en ligne de commande et web à un segment dédié de couche 2/VLAN (une portion isolée du réseau local) et/ou de les contrôler par des règles de pare-feu de couche 3 ou supérieure (filtrage au niveau des adresses réseau ou des niveaux supérieurs).
• Associer ces restrictions à des contrôles de suivi et de journalisation des activités des utilisateurs et des ressources utilisées, également recommandés par HPE ; ces mesures temporaires visent à réduire la probabilité d’exploitation pendant la préparation des correctifs.

Pour ce chantier de mises à jour et de contrôle des accès réseau, VCSTS entretient les protections du périmètre confié, avec des opérations dont le responsable et le déclencheur sont convenus.