Arista Networks 22 жовтня опублікувала бюлетень безпеки, у якому попереджає про активну експлуатацію критичної вразливості CVE-2026-114625 у VeloCloud Orchestrator (VCO) — центральній системі керування SD-WAN-мережами VeloCloud. Вразливість типу SQL injection (CWE-89) дає змогу будь-якому автентифікованому користувачу, включно з власниками мінімальної ролі Enterprise Read Only, підвищити привілеї до рівня оператора-суперкористувача та отримати доступ до внутрішніх функцій, не призначених для віддаленого використання. Оцінка CVSS v3.1 становить 9.9, CVSS v4.0 — 9.4. Організаціям із локальними розгортаннями VCO на гілках 5.2, 6.1 і 6.4 необхідно негайно встановити виправлені версії або застосувати тимчасові заходи захисту.
Технічні деталі вразливості
Згідно з бюлетенем Arista, для експлуатації CVE-2026-114625 зловмиснику потрібні дві умови: мережевий доступ до вебінтерфейсу VCO та чинна автентифікована сесія. При цьому достатньо мінімальної вбудованої ролі — Enterprise Read Only, найнижчого рівня доступу для клієнтських користувачів. VCO за замовчуванням доступний ззовні, і жодне налаштування конфігурації не дає змоги усунути цю експозицію.
Успішна експлуатація дає змогу зловмиснику діяти від імені локального оператора-суперкористувача — ролі з повним доступом до оркестратора. Це може призвести до компрометації конфіденційності, цілісності й доступності як самого оркестратора, так і даних, якими він керує. Arista також зазначає, що експлуатація може вплинути на хост-систему VCO.
Зачеплені версії та виправлення
Вразливість зачіпає локальні розгортання VeloCloud Orchestrator On-Prem (раніше VeloCloud Orchestrator by Broadcom) таких версій:
- VCO 5.2.x до версії 5.2.3.18
- VCO 6.1.x до версії 6.1.3.10
- VCO 6.4.x до версії 6.4.2.12
Виправлені версії: VCO 5.2.3.18, 6.1.3.10 і 6.4.2.12 відповідно. Хмарні (Hosted) і виділені (Dedicated) розгортання VCO вже отримали патчі. Компоненти VeloCloud Gateway та VeloCloud Edge цій вразливості не піддаються. Гілка 7.0 також не зачеплена. Версії, що досягли кінця підтримки, Arista не перевіряла — клієнтам на таких гілках рекомендовано звернутися до TAC для обговорення варіантів оновлення.
Важливий нюанс: оркестратори, оновлені для усунення попередніх вразливостей липня та вересня, залишаються вразливими до CVE-2026-114625, оскільки ті версії виправлень старші за нові патчі.
Серія вразливостей VCO: контекст
CVE-2026-114625 — третя вразливість нульового дня у VeloCloud Orchestrator, про яку Arista повідомляє з кінця липня. У липні була розкрита CVE-2026-16812 — вразливість упровадження команд ОС (CWE-78) з оцінкою CVSS 10.0, що не вимагала автентифікації. У вересні послідувала CVE-2026-93952 — помилка валідації вхідних даних (CWE-20) з CVSS 10.0, яка також не вимагала облікових даних. Обидві попередні вразливості були внесені до каталогу CISA KEV як активно експлуатовані.
Ми вже детально розбирали обидві попередні вразливості: CVE-2026-16812 у VeloCloud Orchestrator і CVE-2026-93952 з CVSS 10.0.
Поточна вразливість відрізняється від двох попередніх тим, що вимагає автентифікації. Однак поріг входу залишається низьким: роль Enterprise Read Only — це мінімальний рівень доступу, який отримує будь-який клієнтський користувач. В архітектурі VCO оператори створюють облікові записи клієнтів і партнерів, а кожен партнер керує групою клієнтів. Таким чином, скомпрометований обліковий запис будь-якого рівня стає відправною точкою для повного захоплення оркестратора.
Варто зазначити, що на момент публікації жовтневого бюлетеня виправлення вересневої вразливості CVE-2026-93952 для гілки 6.1 досі не було випущено — фікси були доступні лише для гілок 5.2 і 6.4. Бюлетень не уточнює, чи усуває версія 6.1.3.10 також і вересневу вразливість.
Індикатори компрометації
За даними Arista, атаки проводилися з двох IP-адрес:
- 74.82.197[.]86
- 38.54.50[.]151
Arista рекомендує заблокувати ці адреси та перевірити журнали на предмет звернень із них. Додатково слід проаналізувати журнали веб-доступу VCO на наявність запитів із незвичними компонентами шляху, закодованими символами, зверненнями до локальних або внутрішніх сервісів, а також аномально високою частотою запитів.
Бюлетень не розкриває, коли почалися атаки, які організації були зачеплені та які дії зловмисники виконували після експлуатації. Також не вказано, чи дає ця вразливість змогу отримати доступ до пристроїв VeloCloud Edge — хоча для липневої та вересневої вразливостей Arista попереджала про таку можливість.
Рекомендації щодо захисту
Якщо негайне оновлення неможливе, Arista рекомендує такі тимчасові заходи:
- Обмежити доступ до вебінтерфейсу VCO довіреними адміністративними мережами
- Відстежувати підключення до VCO з відомих шкідливих IP-адрес
- Контролювати нетипову вихідну мережеву активність із хоста VCO
- Розглянути блокування вихідних портів, не потрібних для штатної роботи
- Перевіряти наявність бекдорів і вебшелів
- Проаналізувати журнали адміністративних дій на предмет неочікуваних змін
За підозри на компрометацію Arista наполегливо рекомендує зберегти докази до початку будь-яких відновлювальних робіт: журнали веб-доступу VCO, журнали серверного застосунку, системні та журнали баз даних, а також часові позначки файлової системи.
Три критичні вразливості нульового дня у VeloCloud Orchestrator за три місяці — усі з підтвердженою активною експлуатацією — формують стійку картину цілеспрямованого тиску на SD-WAN-інфраструктуру. Організаціям із локальними розгортаннями VCO слід розглядати оновлення до виправлених версій (5.2.3.18, 6.1.3.10, 6.4.2.12) як завдання найвищого пріоритету та паралельно провести ретроспективний аналіз журналів на предмет ознак компрометації за вказаними IOC.
