Arista VeloCloud Orchestrator CVE-2026-114625: terzo zero-day da luglio, una SQL injection porta dalla sola lettura ai privilegi di operatore

Una SQL injection in VeloCloud Orchestrator (VCO) On-Prem, la piattaforma per la gestione centralizzata delle reti SD-WAN VeloCloud, è sfruttata attivamente come zero-day: è la CVE-2026-114625, che Arista Networks ha corretto il 22 ottobre 2026 con la Security Advisory 0199. La falla, valutata con CVSS v3.1 pari a 9.9 (9.4 con il CVSS v4.0), consente a qualunque utente autenticato sul portale, anche con Enterprise Read Only, il ruolo predefinito più basso fra quelli assegnati ai clienti (tenant), di ottenere i privilegi di operatore e spacciarsi per l'utente locale «superuser operator», arrivando a funzioni pensate solo per l'uso interno. Il punteggio quasi massimo per una vulnerabilità che richiede credenziali si spiega con il cambio di perimetro (scope changed) indicato nel vettore CVSS, coerente con quanto scrive il vendor: l'attacco può estendersi all'host su cui gira l'orchestratore e compromettere riservatezza, integrità e disponibilità del VCO e dei dati che gestisce. Ad accorgersene è stata la stessa Arista, che ne ha dichiarato lo sfruttamento attivo; il 23 ottobre ACN ha pubblicato un alert di livello critico per lo sfruttamento rilevato in rete.

Arista non ha comunicato da quando la falla sia sfruttata, quante organizzazioni siano state colpite né cosa abbiano fatto gli attaccanti una volta ottenuti i privilegi di operatore; non risultano un'attribuzione né, alla pubblicazione di questa notizia, prove di concetto pubbliche. Il vendor ha però pubblicato nell'advisory i due indirizzi IP da cui ha visto condurre gli attacchi e gli indicatori da cercare nei log di accesso web dell'orchestratore. Fra le contromisure da applicare fino all'aggiornamento chiede anche di sorvegliare il traffico in uscita dall'host e di cercare demoni backdoor e webshell. Arista non spiega se queste indicazioni nascano da impianti osservati negli attacchi e nessuna delle fonti ne ha descritti finora, ma la richiesta esplicita di cercarli suggerisce di non escluderli. La CISA ha inserito la CVE nel catalogo KEV il 23 ottobre, con scadenza di remediation al 26 ottobre 2026 per le agenzie federali civili statunitensi, e in base alla direttiva BOD 26-04 chiede anche il triage forense, cioè di cercare una compromissione già avvenuta oltre ad applicare la patch: un'indicazione di priorità che vale per chiunque gestisca un VCO in proprio.

È il terzo zero-day dell'orchestratore VeloCloud in quattro mesi, dopo la CVE-2026-16812 di luglio e la CVE-2026-93952 di settembre, come ricostruisce SecurityWeek. E le console che governano le reti SD-WAN sono un bersaglio ricorrente quest'anno: un aggiramento dell'autenticazione delle API sfruttato come zero-day aveva colpito la console di Cisco, come avevamo scritto in un nostro precedente alert del 30 settembre sulla CVE-2026-76504 di Cisco Catalyst SD-WAN Manager. Il motivo è lo stesso nei due casi: dalla console di gestione si configurano, monitorano e amministrano le reti di tutte le sedi collegate, e chi la controlla ne eredita la gestione.

A doversene preoccupare è chi gestisce in casa un VeloCloud Orchestrator nei rami 5.2, 6.1 e 6.4, cioè le organizzazioni che usano reti SD-WAN VeloCloud con l'orchestratore installato on-premise. Il prodotto circola ancora con il nome del proprietario precedente, VeloCloud Orchestrator by Broadcom, come ricorda la stessa advisory, e chi lo usa da qualche anno può non riconoscerlo sotto il marchio Arista. Secondo Arista il VCO è esposto per impostazione predefinita e nessuna configurazione consente di eliminare l'esposizione: oltre all'accesso di rete all'interfaccia web, all'attaccante serve solo una sessione valida sul portale. Il rischio è più alto per operatori e fornitori di servizi gestiti (MSP) che usano un orchestratore on-premise condiviso fra più clienti. Enterprise Read Only è un ruolo di tenant, cioè di un singolo cliente, mentre nella documentazione di Arista il superuser operator ha accesso completo e non personalizzabile e gestisce gli utenti operatore e i loro token API: ne discende che la credenziale di sola lettura di un solo cliente può bastare per arrivare al livello che amministra anche tutti gli altri, una conseguenza che si ricava dai ruoli e che l'advisory non scrive. Vanno considerate a rischio, finché il supporto tecnico del vendor non dice il contrario, anche le installazioni ferme a versioni a fine supporto, che Arista non ha valutato. Non devono intervenire i clienti dell'orchestratore ospitato da Arista, istanze Dedicated comprese, che erano vulnerabili e sono già state aggiornate dal vendor. Chi non aveva aggiornato dopo gli zero-day di luglio e settembre ha una ragione in più per affiancare alla patch un'analisi di compromissione.

• Versioni affette: VeloCloud Orchestrator (VCO) On-Prem 5.2.x precedenti alla 5.2.3.18, 6.1.x precedenti alla 6.1.3.10 e 6.4.x precedenti alla 6.4.2.12; le versioni a fine supporto non sono state valutate dal vendor. Le istanze ospitate da Arista, comprese le Dedicated, erano vulnerabili e sono già state aggiornate. Non sono affetti VeloCloud Edge e VeloCloud Gateway.
• Azione raccomandata: aggiornare subito alla 5.2.3.18, alla 6.1.3.10 o alla 6.4.2.12 o successive del proprio ramo, indicate nell'advisory del 22 ottobre 2026, e per i rami fuori supporto contattare il TAC di Arista per le opzioni di aggiornamento; se si sospetta una compromissione, conservare prima di intervenire i log di accesso web, applicativi, di sistema e del database e le marche temporali del file system; fino all'aggiornamento limitare l'accesso all'interfaccia web del VCO alle reti amministrative fidate; bloccare gli indirizzi 74.82.197.86 e 38.54.50.151, osservati dal vendor negli attacchi, e cercarli nei log, anche a ritroso; esaminare i log di accesso web alla ricerca di richieste con componenti di percorso simili a URL, caratteri codificati, riferimenti a servizi locali o interni o picchi di richieste; sorvegliare il traffico in uscita inatteso dall'host del VCO e chiudere le porte in uscita non necessarie; cercare demoni backdoor e webshell e rivedere le modifiche amministrative recenti; ridurre al minimo gli account attivi sul portale, compresi quelli di sola lettura dei clienti, perché anche il ruolo più basso basta per l'attacco.

Fonti: ACN, Arista, CISA, SecurityWeek, BleepingComputer, documentazione Arista