Si la red inalámbrica de tu empresa es Aruba, esta semana tienes que actualizarla. HPE Networking, dueña de la marca, publicó el jueves 22 de octubre de 2026 el aviso de seguridad HPESBNW05162, que corrige 72 vulnerabilidades en sus sistemas operativos inalámbricos AOS-8 y AOS-10. Ocho tienen la calificación máxima de 10.0 y permiten, sin usuario ni contraseña, ejecutar comandos en el equipo o tomar su administración.
En la misma tanda, HPE actualizó el 23 de octubre su aviso sobre ClearPass (el sistema de control de acceso a la red de Aruba) para anunciar que ya hay hotfix contra PHP2Shell, la falla de PHP que seguimos desde el martes.
Qué equipos están afectados
El aviso cubre cinco tipos de equipo:
- Mobility Conductors y Mobility Controllers (las controladoras de la red inalámbrica).
- Mobility Gateways administrados desde HPE Networking Central.
- Access points con AOS-10.
- Access points Instant (IAP) con AOS-8, los que muchas empresas medianas usan sin controladora física.
| Rama | Afectadas | Instalar |
|---|---|---|
| AOS-10.8 | 10.8.1.1 y anteriores | 10.8.1.2 o posterior |
| AOS-10.7 | 10.7.2.6 y anteriores | 10.7.2.7 o posterior |
| AOS-10.4 | 10.4.1.13 y anteriores | 10.4.1.14 o posterior |
| AOS-8.13 | 8.13.3.0 y anteriores | 8.13.3.1 o posterior |
| AOS-8.10 | 8.10.0.23 y anteriores | 8.10.0.24 o posterior |
Fuente: aviso HPESBNW05162 de HPE Networking, revisión 1, 22 de octubre de 2026.
Qué tan graves son
Del total, unos 30 apartados del aviso están calificados como críticos. Los ocho de 10.0 son:
| CVE | Qué permite | Sistema |
|---|---|---|
| CVE-2026-79844 | Saltar la autenticación y ejecutar comandos | AOS-10 |
| CVE-2026-79845 | Saltar la autenticación en el protocolo PAPI y tomar la administración | AOS-10 |
| CVE-2026-79846 | Inyectar comandos sin autenticarse | AOS-8 |
| CVE-2026-79847 | Desbordamiento de memoria que lleva a ejecutar código | AOS-10 |
| CVE-2026-79848 y CVE-2026-79849 | Inyección SQL que termina en ejecución de comandos | AOS-8 |
| CVE-2026-79850 | Saltar la autenticación y ejecutar comandos | AOS-8 |
| CVE-2026-79851 | Desbordamiento de memoria que lleva a ejecutar código | AOS-10 |
Muchas de las fallas están en PAPI, el protocolo con el que los access points y las controladoras de Aruba se comunican entre sí, que usa el puerto UDP 8211. Varias otras requieren que el atacante ya esté dentro de la red (HPE las marca como "adjacent"), lo cual no las vuelve inofensivas: un equipo infectado en la oficina o un visitante en una red mal separada basta.
La buena noticia: HPE dice que no conoce código de ataque ni discusión pública sobre estas fallas, y que las encontró sobre todo su propio equipo de investigación. La mala: con 72 correcciones publicadas a la vez, cualquiera puede comparar la versión vieja con la nueva para entender qué se corrigió. Es el patrón que vimos con la consola de PAN-OS a mediados de mes: de aviso a ataque en días.
ClearPass: el hotfix de PHP2Shell ya salió
Si además usas ClearPass Policy Manager (el sistema que controla quién entra a la red, el portal de invitados del Wi-Fi o la autenticación 802.1X), hay un segundo aviso. El HPESBNW05171, publicado el 22 de octubre y actualizado el 23, confirma que ClearPass trae PHP por dentro y está afectado por PHP2Shell (CVE-2026-109618 y CVE-2026-109619):
- Afectadas: ClearPass 6.14.1 y anteriores, y 6.11.16 y anteriores (las dos publicadas el 29 de septiembre de 2026).
- Corrección: HPE ya liberó un hotfix para 6.14.1 y otro para 6.11.16. Si estás en una versión anterior, primero sube a alguna de esas dos y luego aplica el hotfix.
- Mientras tanto: HPE pide sacar de internet el portal de invitados y todas las interfaces de administración hasta tener el parche instalado.
Es el mismo patrón que contamos en el día 2 de PHP2Shell: equipos de red que nadie asocia con PHP lo llevan adentro. El portal de invitados de ClearPass suele estar publicado para visitantes y clientes: revísalo primero.
De paso, una actualización de la otra marca que seguimos: Palo Alto volvió a actualizar su aviso de PHP2Shell este sábado 24 de octubre y agregó firmas de prevención (97670 a 97674 y 97676 a 97678, con contenido 9164 o posterior). Sus fechas de hotfix para PAN-OS siguen entre el 26 y el 30 de octubre, y PHP2Shell todavía no aparece en el catálogo KEV de CISA (versión 2026.10.23).
Qué hacer este fin de semana y el lunes
- Haz inventario de lo Aruba que tienes. Anota modelo y versión de controladoras, gateways, access points y ClearPass. En la interfaz web de las controladoras y de los Instant la versión aparece en el tablero principal; en la línea de comandos, con
show version. - Ubica tu fila en la tabla. Si estás en una rama con corrección, descarga la versión del portal de soporte de HPE Networking (networkingsupport.hpe.com). Si tu rama ya no tiene soporte, planea el salto y revisa compatibilidad de modelos.
- Respalda la configuración antes de actualizar. Exporta la configuración de la controladora o del conductor del clúster Instant y guárdala fuera del equipo.
- Actualiza fuera de horario. Al reiniciar la controladora o el clúster, la red Wi-Fi se cae unos minutos; ten en cuenta lectores de código de barras y terminales de cobro inalámbricos.
- Aísla la administración. Es la mitigación que da HPE: la interfaz web y la línea de comandos solo deben ser accesibles desde una VLAN de administración o detrás de reglas de firewall. Nunca desde la red de invitados ni desde internet.
- Comprueba desde fuera que nada quedó publicado. Con el método de nuestro tutorial para escanear vulnerabilidades en tu red, revisa que ni la consola de Aruba, ni el puerto UDP 8211, ni la administración de ClearPass respondan desde internet.
- Revisa usuarios y registros. Administradores que nadie dio de alta, cambios de configuración raros o redes inalámbricas nuevas que no reconoces son motivo para aislar el equipo y pedir ayuda.
Las actualizaciones de red inalámbrica son de las que más se posponen porque "el Wi-Fi funciona". Si no tienes quién lo haga de noche o en fin de semana, en redes y ciberseguridad revisamos versiones, aplicamos la actualización y dejamos la administración aislada.
Fuentes: avisos de seguridad HPESBNW05162 (22 de octubre de 2026, revisión 1) y HPESBNW05171 (22 de octubre de 2026, revisión 2 del 23 de octubre) de HPE Networking, publicados en su repositorio CSAF; BleepingComputer (23 de octubre de 2026); aviso CVE-2026-109618 de Palo Alto Networks (actualizado el 24 de octubre de 2026); catálogo Known Exploited Vulnerabilities de CISA, versión 2026.10.23.
