Die kritische Schwachstelle CVE-2026-16812 mit der maximalen CVSS-Bewertung 10.0 in lokalen (on-premises) Versionen von Arista VeloCloud Orchestrator (VCO) wurde als aktiv ausgenutzt bestätigt. Die Schwachstelle ermöglicht es einem entfernten Angreifer, beliebige Betriebssystembefehle auf dem Orchestrator-Host auszuführen, was zu einer vollständigen Kompromittierung der Vertraulichkeit, Integrität und Verfügbarkeit der SD-WAN-Managementplattform sowie aller daran angeschlossenen Peripheriegeräte führt. CISA hat die Schwachstelle in den KEV-Katalog aufgenommen und für Bundesbehörden eine Frist zur Behebung bis zum 30. Juli 2026 festgelegt. Organisationen, die VCO on-premises einsetzen, müssen das System umgehend aktualisieren oder Maßnahmen zur Zugangsbeschränkung ergreifen.
Technische Details der Schwachstelle
Laut dem Sicherheitsbulletin von Arista handelt es sich bei CVE-2026-16812 um eine Schwachstelle des Typs OS command injection — also die Einschleusung von Betriebssystembefehlen. Die Ausnutzung ermöglicht es einem entfernten Angreifer, Zugriff auf privilegierte interne Funktionalität des VCO-Hosts zu erhalten. Arista betont, dass die kompromittierte Funktionalität ausschließlich für die interne Nutzung vorgesehen war und nicht aus der Ferne erreichbar sein sollte.
Eine erfolgreiche Ausnutzung führt zur vollständigen Kompromittierung des Orchestrators: Der Angreifer erhält Kontrolle über den Host, die vom VCO verwalteten Daten und potenziell über alle angeschlossenen VeloCloud-Edge-Geräte.
Betroffene Versionen
- VCO 5.2.x — Versionen bis 5.2.3.14
- VCO 6.1.x — Versionen bis 6.1.3.4
- VCO 6.4.x — Versionen bis 6.4.2.4
- VCO 7.0.x — Versionen bis 7.0.0.1
Arista weist darauf hin, dass die Cloud-basierten (hosted) und dedizierten (dedicated) Versionen von VCO bereits im Vorfeld behoben wurden. Die Bedrohung betrifft ausschließlich lokale Deployments.
Indikatoren einer Kompromittierung
Arista hat drei IP-Adressen veröffentlicht, die als Quellen von Angriffen identifiziert wurden:
- 8.19.75.217
- 206.72.242.124
- 206.72.242.162
Das Unternehmen empfiehlt, diese Adressen umgehend zu blockieren und die Protokolle auf Zugriffe von diesen IP-Adressen zu überprüfen.
Tragweite der Bedrohung und Kaskadeneffekte
Ein Schlüsselaspekt dieser Schwachstelle ist ihr kaskadierendes Potenzial. VeloCloud Orchestrator ist das zentrale Managementelement der SD-WAN-Infrastruktur: Über ihn erfolgen Konfiguration, Monitoring und Verwaltung aller VeloCloud-Edge-Peripheriegeräte. Arista warnt ausdrücklich: „Komпрометация платформы VCO может позволить атакующим получить доступ к устройствам VeloCloud Edge“. Das bedeutet, dass ein einziger Kompromittierungspunkt im Orchestrator potenziell den Zugang zur gesamten verteilten Netzwerkinfrastruktur einer Organisation eröffnet.
Arista bestätigte, dass die Schwachstelle von einem externen Forscher entdeckt wurde und als aktiv ausgenutzt gilt, legte jedoch keine Details zum Umfang der Angriffe, zur Zahl der betroffenen Kunden oder zur Attribution der Bedrohung offen.
Einschätzung der Auswirkungen
Am stärksten gefährdet sind Organisationen, die VeloCloud Orchestrator im on-premises-Modus zur Verwaltung von SD-WAN-Netzen einsetzen. Dies ist typisch für große Unternehmen, Telekommunikationsanbieter und Organisationen mit erhöhten Anforderungen an die Datenkontrolle, die aus regulatorischen oder architektonischen Gründen nicht auf die Cloud-Version von VCO zurückgreifen.
Bei Untätigkeit umfassen die Auswirkungen: vollständige Kontrolle des Angreifers über den Orchestrator, Zugriff auf Konfigurationen und Zugangsdaten aller verwalteten Edge-Geräte, die Möglichkeit zur Manipulation von Netzwerkrichtlinien und Routing sowie die potenzielle Offenlegung von Daten, die über die SD-WAN-Infrastruktur übertragen werden.
Praktische Empfehlungen
Unmittelbare Maßnahmen:
- Aktualisieren Sie VCO auf die behobenen Versionen: 5.2.3.14, 6.1.3.4, 6.4.2.4 oder 7.0.0.1 entsprechend Ihrer Installationslinie.
- Blockieren Sie die IP-Adressen 8.19.75.217, 206.72.242.124 und 206.72.242.162 auf der Firewall-Ebene.
- Überprüfen Sie die Protokolle des Webzugriffs auf VCO, Anwendungslogs, Systemprotokolle und Datenbanklogs auf Zugriffe von den genannten Adressen.
Wenn ein sofortiges Update nicht möglich ist:
- Beschränken Sie den Zugriff auf die Weboberfläche von VCO auf vertrauenswürdige administrative Netze.
- Richten Sie ein Monitoring eingehender Verbindungen von bekannten bösartigen IP-Adressen ein.
- Überwachen Sie die ausgehende Netzwerkaktivität des VCO-Hosts auf Anomalien.
- Führen Sie ein Audit der letzten Administratoraktivitäten auf nicht autorisierte Änderungen durch.
Bei Verdacht auf Kompromittierung:
- Sichern Sie alle VCO-Protokolle und Zeitstempel im Dateisystem vor Beginn der Wiederherstellungsmaßnahmen.
- Führen Sie eine Rotation sämtlicher Zugangsdaten durch, einschließlich Administrator-Konten und Zugriffsschlüssel für Edge-Geräte.
- Überprüfen Sie den Zustand aller verwalteten Edge-Geräte.
- Ziehen Sie die Wiederherstellung oder den Austausch der Orchestrator-Instanzen aus vertrauenswürdigen Quellen in Betracht.
Parallele Bedrohung: Fortinet FortiOS SSL-VPN
Gleichzeitig hat CISA die Schwachstelle CVE-2025-68686 (CVSS 5.3) in den KEV-Katalog aufgenommen, die Fortinet FortiOS SSL-VPN betrifft. Laut dem Fortinet-Bulletin handelt es sich um eine Schwachstelle des Typs CWE-200 (Offenlegung sensibler Informationen), die es einem entfernten, nicht authentifizierten Angreifer ermöglicht, einen Patch zu umgehen, der zur Beseitigung eines Mechanismus zur Speicherung symbolischer Links entwickelt wurde, der in einer Reihe von Post-Exploitation-Fällen beobachtet wurde. Für die Ausnutzung muss der Angreifer das Gerät zuvor über eine andere Schwachstelle auf Ebene des Dateisystems kompromittiert haben. Der Patch wurde Fortinet zufolge im Februar 2025 veröffentlicht. Die Frist zur Behebung für US-Bundesbehörden endet am 10. August 2026.
Organisationen, die Arista VeloCloud Orchestrator on-premises einsetzen, sollten das Update als Aufgabe höchster Priorität betrachten — ein CVSS-Score von 10.0 in Kombination mit bestätigter aktiver Ausnutzung und dem kaskadierenden Potenzial, die gesamte SD-WAN-Infrastruktur zu kompromittieren, lässt keinen Raum für Aufschub. Wenn das Update Zeit erfordert, isolieren Sie die VCO-Weboberfläche umgehend vom externen Zugriff und blockieren Sie die veröffentlichten IOCs.
