CVE-2026-114625
VeloCloud Orchestrator (VCO) on-prem présente un problème de sécurité qui peut permettre à un attaquant distant d'accéder à des fonctionnalités internes privilégiées et d'impacter l'hôte VCO. Une exploitation réussie peut compromettre la confidentialité, l'intégrité et la disponibilité de l'orchestrateur ainsi que des données gérées par celui-ci. Sur un système affecté, tout utilisateur authentifié peut obtenir les privilèges d'opérateur et se faire passer pour un utilisateur « superuser operator » local. Cela inclut l'accès à des fonctionnalités destinées uniquement à un usage interne et qui ne sont pas censées être accessibles à distance. Les versions hébergées de VCO, y compris les versions Dedicated, étaient affectées et ont déjà été corrigées.
Activement exploitée
- Dans le catalogue CISA des vulnérabilités exploitées depuis le 23 oct. 2026
- Les agences fédérales américaines doivent la corriger avant le 26 oct. 2026 (BOD 22-01)
- Attaquée 1 jour avant la divulgation publique de la faille
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Source : CISA KEV · 23 oct. 2026 22 oct. 2026
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:HProduits concernés
| Éditeurs | Produit | Versions |
|---|---|---|
| arista | velocloud orchestrator | < 5.2.3.18 |
Articles liés
Une application Nextcloud et des failles VeloCloud exploitées déclenchent des exigences de remédiation de la CISA
Une application Nextcloud et des failles VeloCloud exploitées déclenchent des exigences de remédiation de la CISA
Arista corrige une faille de VeloCloud Orchestrator exploitée activement (CVE-2026-114625)
Arista corrige une faille zero-day de VeloCloud Orchestrator exploitée en attaques, avec élévation de privilèges via injection SQL.
This product uses the NVD API but is not endorsed or certified by the NVD.
La description technique est notre traduction du texte original du NVD, en anglais.