Arista Networks hat Sicherheitsupdates für eine kritische Zero-Day-Lücke veröffentlicht, die in lokal betriebenen Installationen des VeloCloud Orchestrator (VCO) auftritt und bereits in Angriffen genutzt wird. Der VCO ist das webbasierte Portal, über das Administratoren VeloCloud-Software-Defined-WANs und die daran angeschlossenen Edge-Geräte konfigurieren, überwachen und verwalten.
Die Schwachstelle wird als CVE-2026-114625 geführt. Für ihre Ausnutzung genügen grundlegende Berechtigungen, Netzwerkzugriff auf die VCO-Weboberfläche und eine gültige authentifizierte Sitzung. Von dort aus ermöglicht eine SQL-Injection mit geringer Komplexität, für die keine Benutzerinteraktion nötig ist, einem Angreifer die Ausweitung seiner Rechte.
In Aristas Beschreibung kann die Ausnutzung „einem entfernten Angreifer den Zugriff auf privilegierte interne Funktionen ermöglichen und sich auf den VCO-Host auswirken“, mit möglichen Folgen für Vertraulichkeit, Integrität und Verfügbarkeit des Orchestrators und der verarbeiteten Daten. Bei der Eskalation wurde der Hersteller konkreter: „Auf einem betroffenen System kann jeder authentifizierte Benutzer Operator-Rechte erlangen und sich als lokaler Benutzer mit „superuser operator“-Rolle ausgeben“. So erhält er Zugriff auf Funktionen für den internen Gebrauch, die nie aus der Ferne erreichbar sein sollten.
Gepatchte Builds und Workarounds
Für lokal betriebenes VCO nennt der Arista-Sicherheitshinweis folgende korrigierte Versionen: 5.2.3.18 und neuer im 5.2-Zweig; 6.1.3.10 und neuer im 6.1-Zweig; sowie 6.4.2.12 und neuer im 6.4-Zweig. Gehostete Installationen, einschließlich Dedicated-Instanzen, wurden bereits gepatcht.
Für Installationen, die noch auf das Update warten, empfiehlt Arista vorläufig drei Maßnahmen: den Zugriff auf die VCO-Weboberfläche auf administrative Netzwerke beschränken, auf eingehende Verbindungen von Adressen achten, die bereits mit der Kampagne in Verbindung stehen, und die jüngsten Aktivitäten der Administratoren auf unerklärte Änderungen prüfen. Die Web-Zugriffsprotokolle sollten gesondert durchgesehen werden. Der Hersteller nennt als Muster, nach denen zu suchen ist, Anfragen mit ungewöhnlichen URL-ähnlichen Pfadsegmenten, kodierten Zeichen oder Verweisen auf lokale und interne Dienste sowie ungewöhnlich hohe Anfragevolumina.
Zwei Indikatoren wurden zur Blockierung genannt: 74[.]82.197.86 und 38[.]54.50.151. Arista beschreibt beide als Adressen, die während der laufenden Angriffe aufgetaucht sind.
Besteht der Verdacht auf einen Einbruch, bittet das Unternehmen die Betreiber, vor Beginn der Behebung die VCO-Web-Zugriffsprotokolle, die Protokolle der Backend-Anwendung, die Systemprotokolle, die Datenbankprotokolle und die relevanten Dateisystem-Zeitstempel aufzubewahren, „sofern betrieblich machbar“. Kunden können sich außerdem an das Technical Assistance Center (TAC) von Arista Networks wenden.
Ein wiederkehrendes Muster im Jahr 2026
Die VCO-Schwachstelle ist die vierte Arista-Zero-Day-Lücke im Jahr 2026, die das Unternehmen nach Meldungen über laufende Ausnutzung gepatcht hat. Die früheren waren CVE-2026-7473 im Mai, CVE-2026-16812 im Juli und CVE-2026-93952 im September. Sie betrafen Aristas Extensible Operating System (EOS) und den lokal betriebenen VCO.
Wie BleepingComputer berichtet, gehört Arista Networks zu den Fortune-500-Unternehmen und zählt nach Umsatz zu den größten US-Konzernen. Weltweit hat das Unternehmen mehr als 10.000 Kunden.
Redaktionelle Aktualisierung: Die Zuordnung der korrigierten Versionen zu Release-Zweigen und Installationsarten wurde präzisiert.
