Arista Networks a publié des mises à jour de sécurité pour une faille critique de type zero-day touchant les déploiements sur site de VeloCloud Orchestrator (VCO), déjà utilisée dans des attaques. VCO est le portail web à partir duquel les administrateurs configurent, supervisent et gèrent les réseaux étendus définis par logiciel VeloCloud, ainsi que les équipements de périphérie qui y sont raccordés.
La vulnérabilité est référencée CVE-2026-114625. Pour l'exploiter, il suffit de privilèges de base, d'un accès réseau à l'interface web de VCO et d'une session authentifiée valide. À partir de là, une injection SQL de faible complexité, ne nécessitant aucune interaction de l'utilisateur, permet à un attaquant d'élever ses privilèges.
Dans la description d'Arista, l'exploitation « peut permettre à un attaquant distant d'accéder à des fonctionnalités internes privilégiées et d'affecter l'hôte VCO », avec des conséquences possibles pour la confidentialité, l'intégrité et la disponibilité de l'orchestrateur et des données qu'il traite. L'éditeur a été plus précis sur le mécanisme d'élévation : « Sur un système affecté, n'importe quel utilisateur authentifié peut obtenir des privilèges d'opérateur et se faire passer pour un utilisateur « superuser operator » local », ce qui lui donne accès à des fonctions réservées à un usage interne et qui n'auraient jamais dû être accessibles à distance.
Versions corrigées et contournements
Pour VCO sur site, le bulletin Arista indique les versions corrigées suivantes : 5.2.3.18 et suivantes dans la branche 5.2 ; 6.1.3.10 et suivantes dans la branche 6.1 ; 6.4.2.12 et suivantes dans la branche 6.4. Les déploiements hébergés, y compris les instances Dedicated, ont déjà été corrigés.
Pour les installations qui attendent encore la mise à jour, les recommandations provisoires d'Arista portent sur trois domaines : limiter l'accès à l'interface web de VCO aux réseaux d'administration, surveiller les connexions entrantes provenant d'adresses déjà liées à la campagne, et repasser en revue l'activité récente des administrateurs à la recherche de modifications inexpliquées. Les journaux d'accès web méritent une analyse distincte : l'éditeur signale comme schémas à rechercher des requêtes contenant des segments de chemin d'URL inhabituels, des caractères encodés ou des références à des services locaux ou internes, ainsi que des volumes de requêtes anormalement élevés.
Deux indicateurs ont été cités pour le blocage : 74[.]82.197.86 et 38[.]54.50.151. Arista indique que ces deux adresses sont apparues pendant les attaques en cours.
En cas de suspicion d'intrusion, l'entreprise demande aux opérateurs de conserver, avant de commencer la remédiation, les journaux d'accès web de VCO, les journaux applicatifs du backend, les journaux système, les journaux de base de données et les horodatages pertinents du système de fichiers, « dans la mesure où cela est opérationnellement possible ». Les clients peuvent également s'adresser au Technical Assistance Center (TAC) d'Arista Networks pour un accompagnement supplémentaire.
Un schéma qui se répète en 2026
La faille VCO est la quatrième vulnérabilité de type zero-day corrigée par Arista en 2026 après des signalements d'exploitation active. Les précédentes étaient CVE-2026-7473 en mai, CVE-2026-16812 en juillet et CVE-2026-93952 en septembre, touchant l'Extensible Operating System (EOS) d'Arista ainsi que VCO sur site.
Selon BleepingComputer, Arista Networks figure au classement Fortune 500 et compte parmi les plus grandes sociétés américaines par chiffre d'affaires, avec plus de 10 000 clients dans le monde.
Mise à jour éditoriale : précision des branches de versions et des types de déploiement auxquels s’appliquent les correctifs.
