CVE-2026-16812
VeloCloud Orchestrator (VCO) on-prem weist ein Sicherheitsproblem auf, bei dem ein Remote-Angreifer möglicherweise auf privilegierte interne Funktionen zugreifen und den VCO-Host beeinträchtigen kann. Eine erfolgreiche Ausnutzung kann die Vertraulichkeit, Integrität und Verfügbarkeit des Orchestrators und der vom Orchestrator verwalteten Daten kompromittieren. Diese Funktionalität war nur für den internen Gebrauch bestimmt und ist nicht für den Remote-Zugriff vorgesehen. Die gehosteten und dedizierten Versionen von VCO wurden bereits vor der Veröffentlichung dieser Mitteilung gepatcht. Dieses Problem wurde extern entdeckt und wird bekanntermaßen aktiv ausgenutzt.
Aktiv ausgenutzt
- Seit dem 27. Juli 2026 im CISA-Katalog ausgenutzter Schwachstellen
- US-Bundesbehörden müssen sie bis zum 30. Juli 2026 beheben (BOD 22-01)
- Angegriffen 1 Tag bevor die Schwachstelle öffentlich wurde
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Quelle: CISA KEV · 3. Sept. 2026 7. Aug. 2026 6. Aug. 2026 31. Juli 2026 27. Juli 2026 27. Juli 2026
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:HBetroffene Produkte
| Hersteller | Produkt | Versionen |
|---|---|---|
| arista | velocloud orchestrator | < 5.2.3.14 |
Verwandte Artikel
SchwachstellenCISA warnt vor zwei neuen, aktiv ausgenutzten Schwachstellen in FortiOS und Arista VeloCloud
CISA hat zwei aktiv ausgenutzte Schwachstellen in FortiOS und Arista VeloCloud aufgenommen (CVE-2025-68686, CVE-2026-16812). Jetzt patchen!
SchwachstellenArista VeloCloud Orchestrator: Kritische Zero-Day-Schwachstelle unter aktiver Ausnutzung – sofortiger Patch erforderlich
Kritische Zero-Day-Lücke in Arista VeloCloud Orchestrator aktiv ausgenutzt. CVSS 10.0, kein Login nötig. Sofort patchen! Details zur Mitigation hier.
This product uses the NVD API but is not endorsed or certified by the NVD.
Die technische Beschreibung ist unsere Übersetzung des englischen NVD-Originaltexts.