Arista Networks ha pubblicato aggiornamenti di sicurezza per uno zero-day critico nelle installazioni on-premises di VeloCloud Orchestrator (VCO), già utilizzato negli attacchi. VCO è il portale web con cui gli amministratori configurano, monitorano e gestiscono le WAN definite via software di VeloCloud e i dispositivi edge collegati.
La vulnerabilità è tracciata come CVE-2026-114625. Per sfruttarla bastano privilegi di base, accesso di rete all'interfaccia web di VCO e una sessione autenticata valida. A quel punto, una SQL injection a bassa complessità, che non richiede alcuna interazione dell'utente, consente a un attaccante di ottenere privilegi più elevati.
Secondo Arista, lo sfruttamento può compromettere la riservatezza, l'integrità e la disponibilità di VCO e dei dati gestiti. Un utente autenticato può ottenere privilegi di operatore e impersonare l'utente locale superuser operator, accedendo a funzioni riservate all'uso interno che non dovrebbero essere raggiungibili da remoto.
Versioni corrette e misure temporanee
Per VCO on-premises, il bollettino Arista indica queste versioni corrette: 5.2.3.18 e successive nel ramo 5.2; 6.1.3.10 e successive nel ramo 6.1; 6.4.2.12 e successive nel ramo 6.4. Le installazioni ospitate, comprese quelle Dedicated, sono già state aggiornate.
Per le installazioni che attendono ancora l'aggiornamento, le indicazioni provvisorie di Arista riguardano tre ambiti: limitare l'accesso all'interfaccia web di VCO alle reti amministrative, monitorare le connessioni in ingresso da indirizzi già collegati alla campagna e riesaminare l'attività recente degli amministratori alla ricerca di modifiche non spiegate. Vale la pena controllare a parte i log degli accessi web. Il fornitore indica come schemi da cercare richieste con segmenti di percorso dall'aspetto anomalo simili a URL, caratteri codificati o riferimenti a servizi locali e interni, oltre a volumi di richieste insolitamente elevati.
Per il blocco sono stati indicati due indicatori, 74[.]82.197.86 e 38[.]54.50.151, entrambi descritti da Arista come comparsi durante gli attacchi in corso.
In caso di sospetta intrusione, l'azienda chiede agli operatori di conservare i log di accesso web di VCO, i log delle applicazioni backend, i log di sistema, i log del database e i relativi timestamp del file system prima di avviare la bonifica, «ove operativamente fattibile». I clienti possono inoltre rivolgersi all'Arista Networks Technical Assistance Center (TAC) per ulteriore supporto.
Un andamento ricorrente nel 2026
La falla in VCO è il quarto zero-day di Arista nel 2026 che l'azienda ha corretto dopo segnalazioni di sfruttamento attivo. Le precedenti erano CVE-2026-7473 a maggio, CVE-2026-16812 a luglio e CVE-2026-93952 a settembre, e riguardavano il sistema operativo Extensible Operating System (EOS) di Arista e VCO on-premises.
Arista Networks è una società Fortune 500 tra le più grandi aziende statunitensi per fatturato, con oltre 10.000 clienti in tutto il mondo, come ha riportato BleepingComputer.
Aggiornamento editoriale: precisati i rami di release e i tipi di installazione a cui si applicano le versioni corrette.
