Arista VeloCloud Orchestrator : zero-day critique activement exploitée, correctif immédiat nécessaire

Introduction

Le 27 juillet 2026, Arista Networks a publié des mises à jour d’urgence pour corriger une vulnérabilité zero-day (CVE-2026-16812) affectant les installations sur site de VeloCloud Orchestrator (VCO). La faille, avec un score CVSS maximal de 10.0, permet l’injection de commandes au niveau du système d’exploitation sans authentification et est déjà exploitée dans des attaques réelles. L’agence américaine Cybersecurity and Infrastructure Security Agency (CISA) a immédiatement inscrit cette CVE dans le catalogue Known Exploited Vulnerabilities, ordonnant aux agences fédérales de la corriger avant le 30 juillet 2026.

Analyse technique

La vulnérabilité concerne une fonctionnalité de l’interface web de VCO conçue à l’origine pour un usage interne. Ce composant, non désactivable, est resté exposé sans aucune restriction, permettant à un attaquant distant non authentifié d’envoyer des commandes arbitraires au système d’exploitation. L’attaque ne nécessite ni privilèges ni interaction utilisateur, la simple accessibilité réseau de l’interface d’administration suffit.

Versions concernées :

• 5.2.x antérieure à 5.2.3.14
• 6.1.x antérieure à 6.1.3.4
• 6.4.x antérieure à 6.4.2.4
• 7.0.x antérieure à 7.0.0.1

Les instances VCO en mode hosted/dedicated, ainsi que VeloCloud Gateway et Edge, ne sont pas considérées comme vulnérables car déjà mises à jour ou architecturalement séparées du composant incriminé.

Impact

Une exploitation réussie donne à l’attaquant le contrôle total de l’orchestrateur, compromettant la confidentialité, l’intégrité et la disponibilité des données gérées. Comme VCO administre les équipements VeloCloud Edge, l’accès peut être étendu à ces appareils, avec la possibilité de modifier les configurations réseau ou d’intercepter le trafic. Arista souligne que sur les systèmes déjà compromis, la simple application du correctif peut ne pas suffire : une intervention de remédiation et une investigation approfondie sont nécessaires pour supprimer d’éventuelles portes dérobées.

Atténuation

1. Mise à jour immédiate : installer VCO ≥ 5.2.3.14 / 6.1.3.4 / 6.4.2.4 / 7.0.0.1. Pour les versions non supportées, contacter le support technique Arista.
2. Restriction réseau : limiter l’accès à l’interface web aux seuls réseaux administratifs de confiance, réduisant ainsi la surface d’attaque.
3. Blocage des IP malveillantes fournies par Arista :
   • 8.19.75.217
   • 206.72.242.124
   • 206.72.242.162
4. Surveillance et analyse des logs : rechercher les requêtes web avec des caractères encodés, des chemins anormaux ou des références à des services internes ; les connexions HTTP/HTTPS sortantes inattendues ; les modifications de configuration ou les activités de maintenance privilégiée non autorisées ; l’exécution de commandes, la création de fichiers, les exportations de bases de données ou d’archives suspectes ; les accès aux informations d’identification, certificats ou clés cryptographiques.
5. En cas de compromission suspectée : préserver les logs et les horodatages avant la suppression, changer immédiatement tous les identifiants, vérifier l’intégrité des équipements Edge gérés et envisager la restauration ou le remplacement de l’instance VCO.

FAQ

Question 1 – Si j’utilise VeloCloud Orchestrator en mode hosted, suis-je à risque ?
Non. Les versions hosted et dedicated sont déjà corrigées et ne sont pas vulnérables. Le problème concerne exclusivement les déploiements sur site non mis à jour.

Question 2 – Quels signes indiquent que mon système a été compromis ?
Rechercher dans les logs des requêtes web avec des encodages suspects (ex. séquences d’échappement), des URL avec des chemins anormaux, des connexions sortantes vers des IP inconnues, des modifications non planifiées de la configuration, l’exécution de commandes ou des exportations de bases de données non programmées. Les IP 8.19.75.217, 206.72.242.124 et 206.72.242.162 sont des indicateurs clairs d’activité malveillante.

Question 3 – Après avoir installé le correctif, le système est-il automatiquement sécurisé ?
Pas toujours. Si l’orchestrateur était déjà compromis, l’attaquant a pu créer des mécanismes de persistance. Il est indispensable de mener une investigation forensique, de changer tous les identifiants et, si des preuves d’intrusion sont trouvées, de restaurer l’instance à partir de sauvegardes antérieures à la compromission ou de redéployer complètement l’environnement.