Aanvallers misbruiken een zero-day SQL-injectielek in Arista’s VeloCloud Orchestrator (VCO), het centrale beheersysteem voor VeloCloud SD-WAN-netwerken, aldus het bedrijf in een advies op 22 oktober.
Het lek stelt iedereen die op de orchestrator kan inloggen — zelfs met een read-only klantaccount — in staat om operatorrechten te verkrijgen, het hoogste beheerniveau.
Voor on-premises orchestrators is de oplossing opgenomen in VCO 5.2.3.18, 6.1.3.10 en 6.4.2.12; Hosted- en Dedicated-orchestrators zijn inmiddels al gepatcht.
Het lek is geregistreerd als CVE-2026-114625 en heeft een CVSS-score van 9,9. Orchestrators die draaien op releases die de in juli en september misbruikte VCO-zwakheden hadden verholpen, zijn nog steeds kwetsbaar omdat die releases ouder zijn dan de nieuwe fixes.
Arista kocht de VeloCloud SD-WAN-productlijn van Broadcom en kondigde de overname aan in juli 2025. De producten waren eerder bekend als VMware SD-WAN by VeloCloud.
Om het lek te misbruiken heeft een aanvaller netwerktoegang tot de webinterface van de orchestrator nodig en een geldige aanmelding. De minimale rol is “Enterprise Read Only”, de laagste ingebouwde rol voor klantgebruikers. VCO is standaard blootgesteld en er is geen VCO-instelling die deze blootstelling voorkomt.
In VCO maken operators de klant- en partneraccounts aan, en elke partner kan een groep klanten beheren. Het lek stelt een aanvaller in staat om als lokale superuser op te treden — een rol met volledige toegang. Het kan een aanvaller mogelijk ook in staat stellen de VCO-host zelf te beïnvloeden en de orchestrator en de gegevens die deze beheert, te onthullen, te wijzigen of te verstoren.
Het advies vermeldt niet wanneer de aanvallen begonnen, welke orchestrators getroffen werden of wat de aanvallers deden nadat ze het lek hadden misbruikt.
Het nieuwe lek is de derde in VCO sinds eind juli waarvan Arista meldt dat het misbruikt is, en de eerste van de drie die een login vereist. Noch het juli-lek (CVE-2026-16812) noch het september-lek (CVE-2026-93952) vereisten een login.
Getroffen en opgeloste releases
Elke getroffen releasetrein heeft een eigen oplossing; hieronder staat steeds de fix naast de release die het september-lek op dezelfde trein verholp.
| Releasetrein | Getroffen door CVE-2026-114625 | Opgelost in | CVE-2026-93952 (september) opgelost in |
|---|---|---|---|
| 5.2 | Voor 5.2.3.18 | 5.2.3.18 en later | 5.2.3.16 |
| 6.1 | Voor 6.1.3.10 | 6.1.3.10 en later | Geen fix vermeld |
| 6.4 | Voor 6.4.2.12 | 6.4.2.12 en later | 6.4.2.8 |
VeloCloud Gateway en VeloCloud Edge zijn niet getroffen. De 7.0-releasetrein staat niet op de lijst, en Arista zegt dat elke release die niet op de lijst staat niet kwetsbaar is.
Arista heeft geen controles uitgevoerd op releases die end-of-support hebben bereikt. Klanten op een niet-ondersteunde releasetrein kunnen contact opnemen met Arista’s Technical Assistance Center (TAC) over upgrade-opties.
Stand van zaken op 22 oktober: het september-lek is alleen in de 5.2- en 6.4-treinen opgelost. In 6.1 treft het releases tot en met 6.1.3.7 en is er geen opgeloste release vermeld. Geen van de advisories geeft aan of 6.1.3.10 ook het september-lek oplost.
Als u nog niet kunt upgraden
Totdat de gefixeerde release is geïnstalleerd raadt Arista de volgende stappen aan:
- Beperk de toegang tot de VCO-webinterface tot vertrouwde administratieve netwerken.
- Monitor de VCO op verbindingen vanaf bekende kwaadaardige IP-adressen.
- Let op onverwachte uitgaande netwerkactiviteit vanaf de VCO-host.
- Overweeg uitgaande poorten te blokkeren die voor normale werking niet nodig zijn.
- Let op backdoor-daemons en webshells.
- Bekijk recente beheerder-activiteiten op onverwachte wijzigingen.
Controleren op compromittering
Twee IP-adressen zijn door Arista gezien bij het uitvoeren van de aanvallen. Blokkeer ze en controleer logs op tekenen van hun aanwezigheid:
- IP: 74.82.197[.]86
- IP: 38.54.50[.]151
Controleer ook de VCO-webtoegangslogs op verzoeken met ongebruikelijke, URL-achtige padcomponenten, gecodeerde tekens, verwijzingen naar lokale of interne services, of hoge verzoekfrequenties.
Als u een compromittering vermoedt, bewaar dan waar mogelijk bewijsmateriaal voordat u iets repareert. Dat betekent de VCO-webtoegangslogs, backend-applicatie-, systeem- en databaselogbestanden, samen met de relevante bestandssysteem-timestamps.
Met betrekking tot de juli- en september-zwakheden waarschuwde Arista dat een gecompromitteerde orchestrator aanvallers ook toegang tot VeloCloud Edge-apparaten kon geven. Voor dit lek vermeldt het advies niet of dat risico ook hier van toepassing is of of een upgrade toegang die een aanvaller al heeft verkregen, wegneemt.
