Hewlett Packard Enterprise（HPE）旗下的Aruba Networking上周修补了Instant On无线路由器的两项资安漏洞：CVE-2025-37103与CVE-2025-37102。
其中，CVE-2025-37103起因于路由器韧体中硬编码（写死）的登入凭证，使得任何知情的攻击者都能绕过正常身分验证机制，远端取得系统的管理员权限，是个CVSS v3.1风险评分高达9.8的重大漏洞。
另一个CVE-2025-37102则是命令列介面（CLI）中的验证后命令注入漏洞，允许已取得管理员权限的攻击者，在CLI中执行任意系统指令，进而控制设备。该漏洞的CVSS评分为7.2，属于高风险等级。这也意味著攻击者可先透过前者取得管理权限，再利用后者进行深度渗透攻击。
这两项漏洞皆由Ubisectech Sirius团队的研究员ZZ所发现，并透过 HPE Aruba的漏洞悬赏计划回报。截至公告发布时，HPE尚未发现有关这两个漏洞的公开讨论或攻击程式码。
需要注意的是，这些漏洞仅影响Instant On无线路由器，并未影响同系列的Aruba Instant On交换器。
HPE已释出新版韧体3.2.1.0来修补漏洞。Instant On装置自6月30日当周起已开始自动更新，用户也可透过Instant On App 或Web入口手动启动升级。