Arista VeloCloud Orchestrator: CVE-2026-114625, zero-day exploatat. Orice cont, chiar „doar citire”, poate deveni operator. Ce faci dacă ai SD-WAN

• CISA a adăugat CVE-2026-114625 (Arista VeloCloud Orchestrator, injecție SQL) în catalogul Known Exploited Vulnerabilities pe 23 octombrie, pe baza dovezilor de exploatare activă. Aceasta răspunde întrebării rămase deschise în articol despre statutul KEV.
• SecurityWeek descrie defectul drept al treilea zero-day VeloCloud Orchestrator exploatat în patru luni, ceea ce confirmă contextul relatat de celelalte publicații.

• CVE-2026-114625, CWE-89 (injecție SQL), scor CVSS v3.1 de 9,9 și CVSS v4.0 de 9,4. Un utilizator autentificat poate obține drepturi de operator și se poate da drept utilizatorul local „superuser operator”, ceea ce expune funcții interne care nu ar trebui să fie accesibile la distanță.
• Rolul minim necesar este Enterprise Read Only, cel mai mic rol intern de tenant, plus acces la interfața web a VCO și o sesiune autentificată. Interfața VCO este expusă implicit, iar nicio configurare nu împiedică expunerea.
• Versiuni afectate (VCO on-prem): 5.2.x înainte de 5.2.3.18, 6.1.x înainte de 6.1.3.10 și 6.4.x înainte de 6.4.2.12. Versiuni corectate: 5.2.3.18, 6.1.3.10 și 6.4.2.12 sau mai noi. Versiunile ieșite din suport nu au fost evaluate; clienții de pe ele trebuie să contacteze Arista TAC.
• Instanțele VCO găzduite și dedicate au fost afectate și au fost deja corectate de Arista.
• Măsuri recomandate de Arista: actualizare cât mai repede, limitarea accesului la interfața web la rețele administrative de încredere, monitorizarea accesului din surse rău intenționate cunoscute, a traficului neașteptat spre exterior de pe gazda VCO și a demonilor backdoor și web shell-urilor, și revizuirea activității recente a administratorilor. Avizul listează și doi indicatori de tip adresă IP; nu îi reproducem.
• Pentru verificare, Arista cere să cauți în jurnalele de acces web componente de cale neobișnuite, caractere codificate, referințe la servicii locale sau interne și rate mari de cereri. Dacă bănuiești compromitere, păstrează jurnalele web, ale aplicației, ale sistemului și ale bazei de date și marcajele de timp ale fișierelor înainte de remediere.

• The Hacker News: VeloCloud Gateway și Edge nu sunt afectate, iar versiunea 7.0 nu apare pe lista afectatelor. Aceste detalii sunt atribuite publicației; confirmă în aviz.
• The Hacker News și BleepingComputer notează că Arista a corectat anul acesta alte zero-day-uri exploatate: unul în iulie (CVE-2026-16812, fără autentificare) și unul în septembrie (CVE-2026-93952, tot fără autentificare). Potrivit The Hacker News, Arista a avertizat atunci că un orchestrator compromis ar putea da acces la dispozitive VeloCloud Edge. Pentru 6.1, publicația notează că nu e clar dacă 6.1.3.10 acoperă și defectul din septembrie. Sunt relatări ale presei, nu ale avizului curent.

• Când au început atacurile, câți orchestratori au fost loviți și ce au făcut atacatorii după escaladare: avizul nu spune.
• Cine sunt atacatorii: nu există atribuire.
• Dacă acest defect dă acces și la dispozitivele Edge: avizul nu spune, deși anterior Arista a avertizat despre un risc similar.
• Dacă actualizarea elimină accesul deja obținut de un atacator: nu se știe. Aplicarea corecturii nu dovedește că nu ai fost deja compromis.
• Dacă defectul este în catalogul CISA KEV: nu apare în adăugirile din 20 octombrie și nu am verificat starea ulterioară.
• Câte instanțe sunt expuse în internet: nu există cifre în sursele citite.

• Află dacă ai VeloCloud: direct sau prin furnizor de telecomunicații ori MSP. Întreabă și pe cine nu te aștepți: sucursale, filiale, parteneri.
• Dacă ai VCO on-prem: verifică versiunea și actualizează la 5.2.3.18, 6.1.3.10 sau 6.4.2.12 sau mai nouă. Dacă ești pe o ramură ieșită din suport, contactează Arista TAC.
• Dacă orchestratorul este găzduit de furnizor: cere confirmare scrisă că este corectat și de când, și întreabă dacă a verificat semne de exploatare.
• Restrânge accesul la interfața web la rețele de administrare și, unde se poate, scoate-o din internet. Arista spune că expunerea este implicită, deci probabil nu ai restricționat-o fără să o faci tu.
• Auditează conturile: chiar și un cont „doar citire” era suficient. Scoate conturile nefolosite, ale foștilor colaboratori și ale partenerilor și verifică conturile create recent, tokenurile API și operatorii noi.
• Revizuiește activitatea administratorilor: utilizatori de tip operator noi, modificări de configurație, activări de echipamente și schimbări de politici, pentru perioada de dinaintea corecturii. Nu avem data de început a atacurilor, deci privește cât mai în urmă.
• Urmărește traficul de ieșire de pe gazda VCO și caută web shell-uri și procese necunoscute. Păstrează jurnalele înainte de orice modificare.
• Dacă găsești semne de compromitere: tratează orchestratorul ca pe un sistem compromis, izolează-l, anunță furnizorul și Arista și ia în calcul rotirea credențialelor și certificatelor pe care le gestionează. Aceasta este o practică generală, nu o cerință din aviz.

• Al treilea zero-day exploatat într-un an în aceeași familie de produse arată că expunerea implicită a unei console de administrare nu mai este acceptabilă. Cere furnizorilor tăi o politică de acces la consolele de administrare.
• Cine are răspunderea contractuală pentru actualizarea orchestratorului tău și în cât timp după un aviz de exploatare activă?
• Ai un plan pentru cazul în care controlul rețelei dintre sedii este compromis: cum comunici, cum treci pe conexiuni de rezervă și cine decide?

Un furnizor care îți administrează rețeaua este în lanțul tău de aprovizionare, iar NIS2 cere gestionarea acestui risc. Dacă găsești o compromitere, entitățile esențiale și importante au avertizarea timpurie în 24 de ore și raportul inițial în 72 de ore pentru incidente semnificative; pentru date personale, GDPR cere notificare în 72 de ore dacă riscul o impune. Aplicabilitatea depinde de situația ta; verifică cu juristul sau cu responsabilul cu protecția datelor.

Avizul Arista este sursa primară pentru defect, versiuni, exploatare și măsuri. BleepingComputer și The Hacker News îl relatează și adaugă context despre defecte anterioare; unele detalii (versiuni neafectate, riscul pentru Edge) sunt ale publicațiilor. Numărul CVE din presă are o formă neobișnuită; l-am confirmat în avizul Arista.

Awarely Monitor poate ajuta la evidența consolelor de administrare expuse și la prioritizarea remedierii după exploatare. Awarely Learning susține exercițiile pentru conducere despre accesul furnizorilor. Articolul nu este consultanță juridică și nu garantează conformitatea.