米ヒューレット・パッカード・エンタープライズ（HPE）は10月23日、企業向けネットワーク機器の基本ソフト「ArubaOS（アルバOS）」に計72件の脆弱性（ぜいじゃくせい＝セキュリティ上の欠陥）があるとして修正を公開しました。このうち8件は深刻度が最大級で、認証なしで機器を乗っ取られる恐れがあります。
最大深刻度の欠陥が8件
修正された72件のうち8件は、危険度を示す指標で最も深刻なレベルに分類されています。いずれも攻撃者が事前の権限やIDを必要とせず、利用者の操作を介さずに悪用できる点が特徴です。具体的には、認証を回避して遠隔から任意のプログラムを実行できる「リモートコード実行（RCE）」や、認証そのものを迂回する欠陥（CVE-2026-79844など）が含まれます。
企業の無線ネットワークが標的に
ArubaOSは、HPEのアルバ・ネットワーキング部門が手がける無線LAN機器を動かす基本ソフトで、アクセスポイントやコントローラー、ゲートウェイなど、企業やキャンパスの通信インフラの中枢を担っています。これらの欠陥が悪用されれば、社内ネットワークへの侵入や通信の乗っ取りにつながりかねず、影響は広範囲に及ぶ恐れがあります。
悪用は未確認も早急な対応を
HPEによると、現時点で攻撃に使える実証コードの公開や、実際に悪用された形跡は確認されていません。ただ、深刻度が高いだけに、同社は利用者に対して速やかな更新を強く促しています。すぐに修正できない場合は、管理用の画面を専用のネットワークに隔離したり、ファイアウォールで接続を制限したりする暫定的な対策を推奨しています。
日本への影響
アルバ製のネットワーク機器は、日本国内でも大学や企業、自治体の無線LAN環境で広く使われているため、今回の欠陥は対岸の火事ではありません。認証を回避して遠隔から機器を操作される恐れがあることから、該当機器を利用している組織は、自社のネットワーク管理者を通じて速やかに修正プログラムを適用することが求められます。特に、管理画面がインターネットから直接アクセスできる状態になっている場合は、攻撃の入り口となりやすいため、早急な点検が必要です。近年は、VPN機器やネットワーク機器の欠陥を突いた侵入が国内でも相次いでおり、情報処理推進機構（IPA）やJPCERTコーディネーションセンターも日頃から注意を呼びかけています。悪用が確認されていない今のうちに対策を済ませることが、被害を未然に防ぐうえで重要になります。
まとめ：企業の無線ネットワークを支える基盤に、最大級の欠陥が見つかりました。悪用が広がる前の、速やかな更新が肝心です。
出典：
BleepingComputer
Photo: Brecht Corbeel / Unsplash
