CVE-2026-16812
VeloCloud Orchestrator (VCO) on-prem presenta un problema di sicurezza per cui questo problema potrebbe consentire a un attaccante remoto di accedere a funzionalità interne privilegiate e avere un impatto sull'host VCO. Lo sfruttamento riuscito potrebbe compromettere la riservatezza, l'integrità e la disponibilità dell'orchestratore e dei dati gestiti dall'orchestratore. Questa funzionalità era destinata esclusivamente all'uso interno e non è destinata a essere accessibile da remoto. Le versioni Hosted e Dedicated di VCO sono già state corrette prima della pubblicazione di questo avviso. Questo problema è stato scoperto esternamente ed è noto per essere attivamente sfruttato.
Sfruttata attivamente
- Nel catalogo CISA delle vulnerabilità sfruttate dal 27 lug 2026
- Le agenzie federali statunitensi devono correggerla entro il 30 lug 2026 (direttiva BOD 22-01)
- Attaccata 1 giorno prima che la vulnerabilità fosse resa pubblica
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Fonte: CISA KEV · 28 ott 2026 3 set 2026 7 ago 2026 6 ago 2026 31 lug 2026 27 lug 2026
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:HProdotti coinvolti
| Vendor | Prodotto | Versioni |
|---|---|---|
| arista | velocloud orchestrator | < 5.2.3.14 |
Articoli correlati
Arista corregge una falla in VeloCloud Orchestrator sfruttata attivamente (CVE-2026-114625)
Arista corregge falla critica in VeloCloud Orchestrator on-premises sfruttata in attacchi: SQL injection autenticata con escalation a superuser operator.
Attacchi in corso contro i server VeloCloud Orchestrator con autenticazione tramite certificato
Arista segnala attacchi attivi alla CVE-2026-93952 su VeloCloud Orchestrator on-prem con auth certificato: versioni colpite, fix e rilevamento.
Arista VeloCloud Orchestrator: zero-day critica sotto sfruttamento attivo, patch immediata necessaria
Introduzione Il 27 luglio 2026 Arista Networks ha rilasciato aggiornamenti d’emergenza per sanare una vulnerabilità zero-day CVE-2026-16812 che colpisce le
CISA lancia l’allarme su due nuove vulnerabilità attivamente sfruttate in FortiOS e Arista VeloCloud
CISA segnala due nuove vulnerabilità attivamente sfruttate in FortiOS e Arista VeloCloud. Scopri i dettagli, l'impatto e le mitigazioni da adottare subito.
This product uses the NVD API but is not endorsed or certified by the NVD.
La descrizione tecnica è una nostra traduzione del testo originale NVD, in inglese.