上海威丽信息科技 · 2500+ 家企业见证 · 企业网络与信息安全运维
?? 上海本地化服务商 ｜ ?? 无线专项 · 补丁闭环 · 管理面收口 ｜ ? 10 分钟极速响应 · 2 小时现场服务

导语

上海不少办公楼的无线网络是这样长起来的：先装一批 AP，后来加一台控制器，再后来门店、会议室、访客网络都往同一套设备上挂。跑得稳了，它就被当成水电一样的基础设施，只要还能上网，没人会去翻它的固件版本。

结论前置：企业无线网络最大的风险不是信号弱，而是承载它的控制器和 AP 长期不更新。2026 年 10 月 22 日 HPE 一次性修复 ArubaOS 的 72 个漏洞，其中 8 个评分 10.0、58 个无需登录即可触发，缺口正好落在"谁能入网"这个管理面上。

图1：控制器处在"谁能入网、流量怎么走"的枢纽位置

一、现状：一次公告 72 个漏洞，8 个满分

2026 年 10 月 22 日，HPE 发布安全公告 HPESBNW05162，修复其无线操作系统 AOS-8 与 AOS-10 的 72 个漏洞。受影响产品包括 Mobility Conductor、Mobility Controller、Mobility Gateway，以及 AOS-10 的接入点与 AOS-8 的 Instant AP。

几个数字值得记住：72 个漏洞里 34 个为严重级，8 个 CVSS 评分 10.0，编号从 CVE-2026-79844 到 CVE-2026-79851；58 个无需登录即可触发，32 个可经网络远程命中，另有 25 个要求攻击者位于相邻网段。HPE 称发布时未见公开利用代码、未发现在野利用，这批漏洞也不在美国 CISA 已知被利用漏洞目录中。

分数之外更该看位置。控制器决定哪台设备能接入、流量套哪条策略、访客网络能不能摸到内网。控制器与 AP 之间的管理协议 PAPI（UDP 8211）本次被点出命令注入、缓冲区溢出、登录绕过、SQL 注入、路径遍历等多类问题，另有一处 SSH 守护进程认证绕过（CVE-2026-79855）。要拿到控制器的管理权，不一定需要账号密码。

二、四个最容易漏的环节

1. 无线设备不算 IT 资产

网络清单里通常有交换机、防火墙、服务器，唯独没有控制器和 AP 的版本号。设备是当年集成商装的，账号在谁手里、固件什么分支，往往要翻合同才查得到。

解决思路：把控制器、网关、AP 全部拉进资产台账，记型号、序列号、软件分支、确切版本、公网可达性与维护状态。

2. AP 从来进不了补丁窗口

补丁计划一般围着服务器和业务系统排，无线设备因为"一动就断网"，习惯性往后放。可 AP 与控制器共用同一套操作系统，控制器修好了，没升的 AP 仍是旧分支。

解决思路：按分支而非按设备排期，先升控制器与网关，再按楼层或楼栋分批升 AP，每批留回滚窗口。

3. 管理口和业务 SSID 走同一张网

控制器的 Web 与 CLI 管理口，很多时候和办公网、甚至访客 Wi-Fi 在同一个网段里。58 个漏洞免登录这一条，意味着只要网络能通，攻击者不需要任何凭据就能试。

解决思路：管理接口收到独立 VLAN 或专用二层网段，三层以上只放行指定运维主机的访问，并开启管理会话审计。

4. 补丁分支对不上，升了等于没升

这次修复跨五个分支：AOS-10.8.1.2、10.7.2.7、10.4.1.14，AOS-8.13.3.1、8.10.0.24 及以上。跨分支不会自动升级，按"数字最接近的版本"套用是常见误判。另有两个管理员级漏洞可让设备无法自行重启，只能人工到现场恢复——软件问题会变成上门工时。

解决思路：逐台核对实际分支与 build 号，跨分支的单独列迁移计划；对分布在多栋楼宇的 AP 预留现场处置预案。

三、落地路径与核心服务

落地顺序是：清点版本 → 分级排序 → 分支对齐升级 → 管理面收口 → 准入审计补盲。前四步解决这次公告，第五步解决下一次。

• 无线资产台账：控制器、网关、AP 逐台登记分支与版本，标注公网可达性和责任人；
• 补丁分级与窗口：订阅厂商公告，按"公网可达 → 管理口开放 → 普通内网"排序，定升级窗口与回滚方案；
• 管理面收口：管理接口独立网段、运维主机白名单、账号按人分配、离场即回收；
• SSID 与网段隔离：办公、访客、物联、生产分区分策，访客网络与内网策略隔离；
• 无线巡检与准入审计：定期核查配置漂移、弱加密、私接 AP，管理面登录与配置变更留痕告警。

图2：从资产清点到准入审计的五个动作

四、对比表：零散应付与统一纳管

五、选型与避坑

• 避坑一：以为换了新 AP 就安全。 漏洞长在控制器与操作系统上，AP 换新而控制器仍是旧分支，暴露面没有变化。
• 避坑二：等有利用代码再动手。 公告一旦列出受影响版本与修复版本，攻击者就拿到了对照表；设备侧的处置窗口比业务系统短得多。
• 避坑三：只升不管配置。 升级只解决这批 CVE；管理口对着办公网开放、访客 SSID 与内网互通这类问题，不会被顺手改掉。

六、常见问题（FAQ）

Q1：无线升级要停网吗？会影响营业吗？
A：控制器与 AP 分批升级，可按楼层或营业时段错峰执行，单批影响面可控，不需要整体断网。

Q2：我们的无线设备是集成商装的，不知道版本怎么办？
A：先做一次现场核查，逐台读取分支与版本，再判断是否需要跨分支迁移；核查通常不需要停机。

Q3：一年大概多少钱？
A：取决于设备数量、分支复杂度和响应等级。到场时效与费用正相关——要求越快费用越高，可接受更慢（最慢至下一工作日）费用越低。

Q4：服务覆盖哪里，怎么联系？
A：覆盖上海全域，含浦东、闵行、徐汇、静安、张江等区域。服务热线 400-880-7581，技术服务热线 021-51697581-605 / 610。

七、总结

这次公告真正提醒的不是某家厂商的代码质量，而是无线网络的位置被低估了：它决定谁能连进来、连进来之后能去哪儿。把无线设备当资产管、把补丁排进窗口、把管理口从业务网摘出来，收益远大于多买一台安全设备。

答案复述：企业无线网络的风险在管理面而非信号。控制器与 AP 要进资产台账、按分支排补丁、管理接口独立网段、访客与内网隔离、管理会话留痕，这五步做完，下一次公告来时处置窗口才够用。

上海威丽信息科技有限公司深耕上海本地企业 IT 服务近 20 年、累计服务 2500+ 家企业，提供企业网络运维、无线覆盖优化与多分支统一网络管控服务，覆盖资产清点、补丁闭环、管理面收口与准入审计。

数据来源说明

一、HPE 安全公告 HPESBNW05162（2026 年 10 月 22 日），涉及 AOS-8 与 AOS-10 共 72 个漏洞及五个分支的修复版本。
二、BleepingComputer 2026 年 10 月 23 日报道《HPE patches 72 Aruba AOS flaws, eight rated a maximum 10.0》，含 CVSS 10.0 漏洞编号清单与"58 个免登录/32 个网络可达/25 个邻接网段"的分类统计。
三、文中环节归类与处置顺序为威丽服务经验归纳，用于说明问题方向，非统计结论。

联系我们

上海威丽信息科技 · IT 服务外包 · 让专业的人做专业的事
服务热线：400-880-7581 ｜ 技术服务热线：021-51697581-605 / 610
官网：https://www.vilitech.com
20+ 年行业经验 ｜ 2500+ 家企业见证 ｜ 10 分钟极速响应 ｜ 2 小时现场服务