Arista закрила нульовий день у VeloCloud Orchestrator, який вже використовували в атаках
Arista Networks випустила оновлення безпеки для VeloCloud Orchestrator (VCO) On-Prem після виявлення активної експлуатації критичної вразливості.
Arista Networks випустила патчі для критичної вразливості у VeloCloud Orchestrator (VCO) для локальних інсталяцій, яку вже використовують у реальних атаках.
Що сталося
VCO — це вебпортал для керування SD-WAN VeloCloud і периферійними пристроями. Уразливість, відстежувана як CVE-2026-114625, дозволяє зловмисникам із базовими привілеями, доступом до вебінтерфейсу VCO та чинною сесією підвищити права через SQL-інʼєкцію низької складності без взаємодії з користувачем.
За даними компанії, на вразливих системах будь-який автентифікований користувач може здобути права оператора та видавати себе за локального «superuser operator», отримуючи доступ до внутрішніх функцій, які не мали бути доступні віддалено. Наслідки — компрометація конфіденційності, цілісності та доступності оркестратора і даних, якими він керує.
Хто під загрозою і які версії виправлено
Проблема стосується інсталяцій VCO On-Prem. Arista повідомила, що вже оновила хостингові розгортання VCO до версій 5.2.3.18 або новішої, 6.1.3.10 або новішої та 6.4.2.12 або новішої.
Тимчасові кроки для захисту
До встановлення патчів адміністратори мають:
- обмежити доступ до вебінтерфейсу VCO лише адміністративними мережами;
- відстежувати підключення з відомих шкідливих IP, а саме 74.82.197.86 і 38.54.50.151, та блокувати їх;
- перевірити недавню активність адміністраторів на предмет нетипових змін;
- переглядати журнали доступу до VCO на підозрілі запити: незвичні URL-подібні шляхи, закодовані символи, посилання на локальні чи внутрішні сервіси, а також аномально високі частоти запитів.
Якщо є підозра на компрометацію, Arista радить зберегти журнали доступу до VCO, журнали бекенд-застосунків, системні та баз даних, а також відповідні часові мітки файлової системи перед початком відновлювальних робіт. Додаткову допомогу надає Technical Assistance Center (TAC).
Контекст
Цього року Arista вже закривала три інші нульові дні, що активно експлуатувалися: CVE-2026-7473 у травні, CVE-2026-16812 у липні та CVE-2026-93952 у вересні. Вони впливали на Extensible Operating System (EOS) та локальні розгортання VeloCloud Orchestrator.
