Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Son 7 gün

CVE-2026-79861

HPE AOS-10 PAPI protokolünde kimlik doğrulamasız komut enjeksiyonu

Hewlett Packard Enterprise (HPE) ArubaOS (AOS)

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
23 Eki 2026
Açık yaşı
5 gün
Kaydı açan
hpe

Yönetici özeti

Bu açık, ağ cihazlarını kimlik doğrulaması olmadan tamamen ele geçirilebilir hale getirmektedir ve kritik düzeyde risk taşımaktadır. Etkilenen cihazların hemen güncellenmesi veya korunması, iş sürekliliği ve veri güvenliği açısından acil önceliktir.

ÖzetTürkçe

HPE AOS-10 ürününün PAPI protokolünde, özel hazırlanmış PAPI paketleri gönderilerek komut enjeksiyonu yapılabilmektedir. Bu açık, kimlik doğrulaması gerektirmeden uzaktan kod çalıştırmaya yol açabilmektedir. Etkilenen sürümler arasında 10.8.0.0 - 10.8.1.1, 10.7.0.0 - 10.7.2.6 ve 10.4.0.0 - 10.4.1.13 aralığındaki ArubaOS sürümleri yer almaktadır.

Saldırgan ne yapabilir?

Saldırgan, kimlik doğrulaması yapmadan cihaz üzerinde işletim sistemi seviyesinde ayrıcalıklı kullanıcı olarak keyfi kod çalıştırabilir. Bu da cihazın tamamen ele geçirilmesi anlamına gelir.

Kaynaktaki açıklama (İngilizce)

There is a command injection vulnerability in AOS-10 that could lead to unauthenticated remote code execution by sending specially crafted PAPI packets. Successful exploitation of this vulnerability results in the ability to execute arbitrary code as a privileged user on the underlying operating system.

Ne yapmalı?

  1. HPE'nin destek sayfasında yayımlanan güvenlik bildirimini inceleyin ve etkilenen AOS-10 sürümünüzü belirleyin. Genel öneri
  2. Etkilenen sürüm aralıklarında (10.8.0.0 - 10.8.1.1, 10.7.0.0 - 10.7.2.6, 10.4.0.0 - 10.4.1.13) bulunan cihazları, HPE'nin sağladığı düzeltilmiş sürüme yükseltin. Genel öneri
  3. Güncelleme yapılana kadar PAPI protokolüne erişimi ağ seviyesinde kısıtlayın; bu hizmete yalnızca güvenilen kaynak adreslerinden erişime izin verin. Genel öneri
  4. Güncelleme sonrası cihazın sürüm bilgisini doğrulayın ve kullanılan yapılandırmanın değişmediğini kontrol edin. Genel öneri

Ek önlemler

  • Yönetim ve kontrol düzlemi trafiğini ayrı bir ağ segmentinde tutarak dış erişimi engelleyin. Genel öneri
  • PAPI protokolüne ait beklenmeyen trafik ve cihaz üzerindeki olağandışı süreçler için günlük kayıtlarını ve ağ izlemesini sürekli takip edin. Genel öneri
  • Ağ cihazlarının güvenlik güncellemelerini düzenli olarak takip edin ve kritik açıklar için hızlı yama süreçleri oluşturun. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Hewlett Packard Enterprise (HPE) ArubaOS (AOS) ≥ 10.8.0.0, ≤ 10.8.1.1 –
≥ 10.7.0.0, ≤ 10.7.2.6 –
≥ 10.4.0.0, ≤ 10.4.1.13 –

Kaynaklar3 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.