Arista VeloCloud Orchestrator · Exploração confirmada

Arista corrige zero-day de injeção de SQL no VeloCloud já explorado

21 de out. de 2026 · 1 min de leitura

A falha CVE-2026-114625, injeção de SQL no VeloCloud Orchestrator on-premises, permite que qualquer usuário autenticado obtenha privilégios de 'superuser operator'. Segundo a Arista, a falha já é explorada ativamente e a CISA a adicionou ao catálogo KEV; é a terceira falha do VCO na KEV em 2026, após CVE-2026-16812 (julho) e CVE-2026-93952 (setembro). A Arista já corrigiu suas instâncias hospedadas e dedicadas; clientes on-premises devem atualizar para 5.2.3.18, 6.1.3.10 ou 6.4.2.12.

Por Redação HIFY Radar Atualizado 26/10/2026 13:11 Receba isso todo dia →← Voltar ao feed 8 fontes

CríticaFalhaExploração confirmadaCorrigido

Neste artigo

O que aconteceu
Por que importa
O que fazer
Para o time técnico
Linha do tempo
Fontes

O que aconteceu

A Arista corrigiu uma falha crítica no VeloCloud Orchestrator, produto que gerencia redes SD-WAN corporativas. Qualquer usuário com login válido, até um acesso de apenas leitura, pode assumir o controle total do sistema. A própria Arista afirma que a falha já é usada em ataques reais.

Por que importa

O Orchestrator controla o tráfego de vários sites; segundo a Arista, a invasão pode comprometer a confidencialidade, a integridade e a disponibilidade do orquestrador e dos dados que ele gerencia. A interface web fica exposta por padrão e, segundo a Arista, não há configuração que elimine essa exposição. Um login de baixo privilégio roubado já basta ao atacante.

O que fazer

Atualizar hoje o VCO on-premises para 5.2.3.18, 6.1.3.10 ou 6.4.2.12; a Arista já corrigiu as instâncias hospedadas e dedicadas. Restringir a interface web a redes administrativas confiáveis e procurar os IPs de atacante nos registros. Contatar o Arista TAC se a versão estiver sem suporte.

Para o time técnico

CVE: CVE-2026-114625
Afetados: Arista VeloCloud Orchestrator (VCO) On-Prem · VCO 5.2.x antes de 5.2.3.18; VCO 6.1.x antes de 6.1.3.10; VCO 6.4.x antes de 6.4.2.12. VeloCloud Gateway, VeloCloud Edge e Arista EOS não são afetados.
Exploração: Exploração ativa em curso; a Arista afirma que a falha 'foi detectada pela Arista e é conhecida como ativamente explorada'. A CISA adicionou o CVE-2026-114625 ao catálogo KEV. É a terceira falha do VCO na KEV em 2026, após CVE-2026-16812 (injeção de comando de SO, julho) e CVE-2026-93952 (validação de entrada, setembro), segundo o SecurityOnline.
Correção: Atualizar o VCO on-premises para 5.2.3.18, 6.1.3.10 ou 6.4.2.12. A Arista já corrigiu suas instâncias VCO hospedadas e dedicadas; clientes on-premises devem atualizar por conta própria. Para versões sem suporte, contatar o Arista TAC. Mitigação: restringir a interface web do VCO a redes administrativas confiáveis.
Vetor: Injeção de SQL (CWE-89) no VeloCloud Orchestrator on-premises. Qualquer usuário autenticado, inclusive o menor papel de tenant embutido (Enterprise Read Only), pode obter privilégios de operador e se passar por um usuário local 'superuser operator', liberando funções de uso interno apenas. A interface web do VCO é exposta por padrão e, segundo a Arista, não existe configuração que impeça a exposição.
Mais detalhes: CVSS 9.9 (SecurityOnline). Avisado no Arista Security Advisory 0199, com início em 22/10/2026. A Arista recomenda bloquear e buscar nos logs os IPs de atacante, monitorar tráfego de saída inesperado, daemons de backdoor e webshells, revisar atividade administrativa recente e checar logs de acesso web por caminhos de URL estranhos, caracteres codificados ou altas taxas de requisições. Preservar logs e timestamps de arquivos antes de aplicar o patch. O NCSC-NL publicou em 22/09/2026 o aviso NCSC-2026-0385 sobre a falha anterior CVE-2026-93952 (path traversal, CVSS v4 9.5).