ArubaOS 취약점 72건 수정, 무선망 관리자는 무엇을 확인해야 할까?

HPE NEWS & OPINION · 2026년 10월 25일 확인

무선 인터넷이 잘된다고, 관리 경로까지 안전한 것은 아닙니다.

HPE는 10월 22일 Aruba 무선 운영체제 AOS-8·AOS-10의 보안 공지 HPESBNW05162를 발표했습니다. 제조사 공개 자료에는 취약점 72건이 들어 있으며, 그중 8건에 HPE가 CVSS 3.1 최고 점수인 10.0을 부여했습니다. 인증 우회와 원격 코드 실행으로 이어질 수 있는 문제가 포함돼 있습니다. HPE 공식 보안 데이터

BleepingComputer는 10월 23일 이를 보도했습니다. 현장에서 볼 부분은 취약점 숫자만이 아닙니다. 우리 장비가 대상인지, 수정 버전은 무엇인지, 그 장비의 관리 기능에 누가 접근할 수 있는지를 함께 확인해야 합니다.

이 글은 HPE 공지 revision 1과 10월 25일 확인한 원문을 기준으로 정리했습니다. 아래 버전 표는 해당 공지의 수정 기준이며, 모든 장비에 같은 이미지를 적용하라는 뜻은 아닙니다.

1. 먼저, 무선 OS와 CX를 구분합니다

이번 공지는 AOS-8·AOS-10을 사용하는 Mobility Conductor, Controller, Gateway, 해당 AP가 대상입니다. 같은 Aruba 이름이 붙어 있어도 CX 스위치의 AOS-CX를 이번 공지와 같은 대상으로 묶으면 안 됩니다. 장비 이름뿐 아니라 실제 OS 계열을 먼저 대조해야 합니다. HPE 공식 공지 원문

장비 목록에는 모델명, 관리 방식, OS 계열, 현재 실행 버전을 나란히 적어두는 편이 좋습니다. “Aruba AP 몇 대”라는 목록보다 “어떤 OS와 버전으로 동작하는가”가 이번 판단에 더 직접적으로 도움이 됩니다.

2. 현재 버전을 이 표와 대조합니다

제조사 공지와 캐나다 사이버보안센터 안내에서 확인한 수정 버전은 다음과 같습니다. 자신이 사용하는 계열의 행을 읽으세요. 버전 숫자는 소수처럼 크기를 비교하는 값이 아닙니다.

OS / 계열	공지의 영향 버전	수정 버전
AOS-10 / 10.8	10.8.1.1 이하	10.8.1.2 이상
AOS-10 / 10.7	10.7.2.6 이하	10.7.2.7 이상
AOS-10 / 10.4	10.4.1.13 이하	10.4.1.14 이상
AOS-8 / 8.13	8.13.3.0 이하	8.13.3.1 이상
AOS-8 / 8.10	8.10.0.23 이하	8.10.0.24 이상

출처: 캐나다 사이버보안센터 AV26-1079 및 HPE 공지. 개별 취약점의 적용 범위는 원문 상세 항목을 함께 확인해야 합니다.

표에 없는 오래된 버전이라고 안전하다고 결론내리지는 마세요. HPE는 유지보수·지원이 끝난 릴리스에 대해 별도 주의를 명시하고 지원되는 릴리스로의 전환을 권고합니다. 실제 목표 버전은 하드웨어 지원, 호환성, 업그레이드 경로까지 확인해 정해야 합니다.

3. 패치와 함께 관리 경로를 봅니다

HPE가 제시한 완화 방향은 CLI·웹 관리 인터페이스의 접근을 전용 세그먼트나 VLAN으로 제한하고, 방화벽 정책과 활동 기록을 함께 관리하는 것입니다. 패치를 대체하는 조치가 아니라 업데이트 전후에도 유지할 접근 통제로 읽는 것이 좋습니다.

확인 질문은 구체적일수록 좋습니다. 관리 화면이 인터넷에 노출돼 있는지, 게스트망이나 일반 사용자망에서 접근 가능한지, 허용한 관리자 경로와 접속 기록을 설명할 수 있는지 살펴보세요. 장비가 내부에 있다는 사실만으로 필요한 제한이 모두 적용됐다고 보기는 어렵습니다.

접근을 줄이는 과정에서 정상적인 AP 제어 통신이나 관리 연동까지 끊지 않도록 현재 통신 관계를 먼저 확인해야 합니다. 이 글에서는 모델과 토폴로지가 확인되지 않은 상태에서 적용할 일괄 차단 명령을 제시하지 않습니다.

4. 텐스의 시각: 완료 기준이 중요합니다

이번 공지는 펌웨어 작업의 완료 기준을 다시 정할 계기라고 봅니다. 이미지 업로드와 재부팅 성공에서 끝내기보다, 실제 실행 버전과 관리 접근 범위, 무선 서비스 복구를 한 묶음으로 확인하는 방식이 필요합니다.

우선 장비별 담당자와 현재 버전을 기록하고, 작업 전에 백업·복구 방법과 중단 시간을 정합니다. 여러 대를 운영한다면 소규모 검증 후 범위를 넓히는 계획을 검토할 수 있습니다. 인증 서버나 게이트웨이와의 연동도 작업 완료 조건에 포함해두면 좋습니다.

작업 후 확인	남겨둘 내용
실행 버전	각 장비가 실제로 어떤 버전으로 동작하는지
무선 서비스	주요 SSID의 접속·인증·IP 할당과 업무 통신 결과
관리 접근	허용한 관리자 경로와 차단해야 할 경로의 확인 결과
운영 기록	작업 시간, 백업 위치, 변경 사항, 남은 예외와 담당자

이 표는 텐스의 운영 검토 제안입니다. 사용 중인 인증 방식이나 무선 구성에 따라 항목을 더하거나 바꿔야 합니다. Central로 관리하는 환경도 장비별 실제 실행 버전을 확인하는 데서 시작하면 됩니다.

5. 공개된 사실과 남은 불확실성

HPE는 공지 발표 시점에 해당 취약점을 겨냥한 공개 논의나 공격 코드를 인지하지 못했다고 밝혔습니다. 이것을 “침해가 없다”거나 “패치가 급하지 않다”는 의미로 넓혀 해석해서는 안 됩니다.

각 취약점의 공격 조건과 적용 제품은 다릅니다. 최고 점수 10.0이라는 사실만으로 모든 장비가 같은 경로로 즉시 공격된다고 단정할 수도 없습니다. 영향 여부는 해당 장비의 제품·버전·노출 경로를 대조해 판단해야 합니다.

---

이번 주에 먼저 해볼 일은 작습니다. 무선 장비 한 대의 OS·버전·관리 접속 경로를 확인하고, 같은 기준으로 나머지 목록을 채워보세요. 그 목록이 있어야 패치 대상과 작업 순서도 분명해집니다.

확인한 원문 · HPE HPESBNW05162 revision 1 / HPE CSAF 데이터 / 캐나다 사이버보안센터 / BleepingComputer 보도. 확인 기준: 2026년 10월 25일. 제품·버전·취약점 상태는 이후 공지에서 바뀔 수 있습니다.