Arista VeloCloud Orchestrator: SQL injection sfruttata (CISA KEV)

Il 23 ottobre 2026 la CISA ha inserito la CVE-2026-114625 nel catalogo Known Exploited Vulnerabilities (KEV): la vulnerabilità di Arista VeloCloud Orchestrator (VCO) è quindi già sfruttata in attacchi reali. Il catalogo la chiama «Arista VeloCloud Orchestrator SQL Injection Vulnerability».

Per le agenzie federali statunitensi la scadenza per intervenire è il 26 ottobre 2026, appena tre giorni dopo l’inserimento. La scheda della CVE nel database NVD è stata pubblicata il 22 ottobre.

Questo articolo si basa su una sola fonte, la scheda del catalogo KEV con la descrizione pubblicata nel database NVD: le informazioni che seguono sono quelle riportate lì.

Cosa è successo

VeloCloud Orchestrator è la console di gestione centralizzata della soluzione SD-WAN VeloCloud. Secondo la descrizione pubblicata nel database NVD, la vulnerabilità riguarda le installazioni on-prem dell’orchestratore e può permettere a un attaccante remoto di accedere a funzioni interne privilegiate e di colpire l’host su cui gira VCO.

In pratica, sul sistema vulnerabile qualsiasi utente autenticato può ottenere i privilegi di operatore e presentarsi come l’utente locale «superuser operator». Questo dà accesso anche a funzioni pensate solo per l’uso interno, che non dovrebbero essere raggiungibili da remoto.

Secondo la stessa descrizione, uno sfruttamento riuscito può compromettere riservatezza, integrità e disponibilità dell’orchestratore e dei dati che gestisce.

Le versioni ospitate, comprese quelle Dedicated, erano anch’esse colpite e sono già state corrette.

Dettagli tecnici

• CVE: CVE-2026-114625.
• Prodotto: Arista VeloCloud Orchestrator (VCO), installazioni on-prem.
• Debolezza: CWE-89 (SQL injection), come indica anche il titolo del catalogo KEV. La descrizione NVD non spiega in quale funzione si trovi il difetto.
• Impatto: elevazione dei privilegi da utente autenticato a «superuser operator», accesso a funzioni interne non pensate per l’uso remoto, impatto sull’host di VCO.
• Punteggi CVSS, entrambi calcolati dal PSIRT di Arista:
  • 9.9 (critico) in CVSS 3.1: attacco dalla rete, bassa complessità, privilegi bassi (un account qualsiasi), nessuna interazione dell’utente, scope changed, impatto alto su riservatezza, integrità e disponibilità;
  • 9.4 (critico) in CVSS 4.0: stessi presupposti, con impatto alto sia sul sistema vulnerabile sia sui sistemi successivi (SC, SI e SA alti).
• Versioni colpite e corrette: la fonte non le riporta; sono nell’avviso di sicurezza 0199 di Arista.
• Sfruttamento: confermato dalla CISA con l’inserimento nel catalogo KEV. L’uso in campagne ransomware, per la CISA, al momento non è noto.
• MITRE ATT&CK: lo sfruttamento di un’applicazione raggiungibile dalla rete corrisponde a T1190 (Exploit Public-Facing Application) e l’uso di un account esistente come punto di partenza a T1078 (Valid Accounts). La fonte non descrive la catena di attacco né indicatori di compromissione.

Lo scope changed del CVSS 3.1 e i valori alti sui sistemi successivi del CVSS 4.0 indicano che le conseguenze, secondo la valutazione di Arista, non restano confinate all’orchestratore.

Impatto per le aziende europee e italiane

L’orchestratore è il punto da cui si governa la rete SD-WAN: chi lo controlla con privilegi di operatore agisce sul componente che gestisce la rete e sui dati che contiene. La necessità di un utente autenticato non è una grande barriera: per la descrizione basta un account qualsiasi, anche con privilegi minimi.

Per i soggetti che rientrano nella NIS2, la gestione tempestiva delle vulnerabilità fa parte delle misure richieste, e una compromissione va valutata per la notifica al CSIRT nazionale, che in Italia è lo CSIRT Italia dell’ACN. Lo stesso vale per le strutture sanitarie che collegano più sedi con una rete SD-WAN gestita da un orchestratore on-prem.

Cosa fare subito

1. Inventario: verifica se in azienda, o presso il fornitore che ti gestisce la rete, c’è un VeloCloud Orchestrator on-prem. Le istanze ospitate, anche Dedicated, sono già state corrette da Arista.
2. Aggiorna: applica le correzioni o le mitigazioni indicate nell’avviso 0199 di Arista. La CISA chiede di applicare le mitigazioni del produttore o, se non sono disponibili, di smettere di usare il prodotto.
3. Riduci l’esposizione: la CISA chiede di valutare quanto ogni istanza sia esposta su Internet. Finché l’aggiornamento non è applicato, valuta di rendere l’interfaccia dell’orchestratore raggiungibile solo dalla rete di gestione o tramite VPN.
4. Rivedi gli account: per la descrizione basta un utente autenticato qualsiasi. Elimina gli account non più usati e controlla chi ha accesso all’orchestratore.
5. Cerca segni di compromissione: la CISA richiama, per le agenzie federali, i suoi requisiti di triage forense. Sulle istanze vulnerabili esamina i log dell’orchestratore e dell’host, le attività svolte con privilegi di operatore e le modifiche alla configurazione.
6. Credenziali: se trovi segni di compromissione, sostituisci le credenziali degli account dell’orchestratore e quelle usate dalle sue integrazioni.

Come aiuta ARXDOME

ARX Expose mostra quali servizi la tua azienda espone su Internet, quali prodotti vi sono riconosciuti e quali hanno vulnerabilità note: aiuta a scoprire se un’interfaccia di gestione è raggiungibile da fuori. ARX Shield elenca le vulnerabilità aperte sulle macchine monitorate e mette in evidenza quelle già sfruttate dagli attaccanti. ARX Sentry raccoglie log ed eventi dei server su cui è installato l’agent, compresi gli accessi privilegiati e le modifiche agli account. Con ARX Horizon puoi consultare dal portale i dettagli delle vulnerabilità e cercare gli indicatori di compromissione.

Ultimo aggiornamento: 23 ottobre 2026