VeloCloud Orchestrator: versioni corrette e IP degli attacchi

La CVE-2026-114625 di Arista VeloCloud Orchestrator (VCO) on-prem, una SQL injection con CVSS 9.9 che permette a un utente autenticato qualsiasi di presentarsi come «superuser operator», è stata descritta nell’articolo del 23 ottobre, scritto sulla base del solo catalogo KEV della CISA. Da allora l’avviso di sicurezza 0199 di Arista, riportato da BleepingComputer, SecurityWeek e LeMagIT, e l’avviso AV26-1080 del Canadian Centre for Cyber Security hanno aggiunto quello che serve a chi gestisce un orchestratore: le versioni corrette, gli indirizzi IP da cui sono partiti gli attacchi, cosa cercare nei log e le mitigazioni in attesa dell’aggiornamento.

Versioni colpite e corrette

Secondo l’avviso canadese e SecurityWeek sono colpite tutte le versioni di VCO precedenti a:

• 5.2.3.18;
• 6.1.3.10;
• 6.4.2.12.

La correzione è inclusa in queste versioni e in quelle successive. Le istanze ospitate da Arista sono già state aggiornate; chi ha un orchestratore on-prem deve installare la correzione da sé. Per SecurityWeek l’aggiornamento a una versione corretta è la soluzione raccomandata da Arista, e le altre misure servono solo nell’attesa.

Chi può sfruttarla

Le fonti concordano sui presupposti: l’attaccante deve raggiungere l’interfaccia web di VCO e avere una sessione autenticata valida. SecurityWeek precisa, citando Arista, che basta il ruolo tenant integrato con i privilegi più bassi, che le installazioni di VCO sono esposte per impostazione predefinita e che «non esiste una configurazione che possa impedire l’esposizione». BleepingComputer e LeMagIT descrivono l’iniezione come poco complessa e senza bisogno di interazione dell’utente.

Lo sfruttamento è stato rilevato dalla stessa Arista (SecurityWeek). Nessuna fonte indica chi c’è dietro gli attacchi, quante organizzazioni siano state colpite o cosa abbiano fatto gli attaccanti dopo l’accesso.

Indicatori e cosa cercare nei log

Arista ha pubblicato due indirizzi IP osservati negli attacchi, riportati da BleepingComputer e SecurityWeek:

• 74.82.197.86
• 38.54.50.151

Vanno bloccati e cercati nei log. Nei log di accesso web di VCO Arista suggerisce di cercare anche:

• richieste con componenti del percorso simili a URL insoliti;
• caratteri codificati;
• riferimenti a servizi locali o interni;
• frequenze di richiesta elevate.

Le fonti non descrivono la catena di attacco nel dettaglio né pubblicano altri indicatori, come hash di file o nomi di web shell.

Se si sospetta una compromissione, Arista chiede di conservare le prove prima di intervenire, dove possibile: log di accesso web di VCO, log dell’applicazione backend, log di sistema, log del database e timestamp del file system. Per l’assistenza rimanda al suo TAC.

Mitigazioni in attesa dell’aggiornamento

Fino all’installazione della versione corretta, Arista raccomanda (BleepingComputer e SecurityWeek):

• limitare l’accesso all’interfaccia web di VCO alle reti di amministrazione;
• rivedere le attività recenti degli amministratori alla ricerca di modifiche insolite;
• monitorare le connessioni dagli IP noti e gli accessi sospetti.

Solo SecurityWeek riporta altre due indicazioni: bloccare le porte in uscita non necessarie e controllare la presenza di processi backdoor e web shell sull’host. In termini MITRE ATT&CK, lo sfruttamento corrisponde a T1190 (Exploit Public-Facing Application) con un account valido (T1078); le web shell rientrerebbero in T1505.003, ma le fonti le citano come verifica raccomandata, non come fatto osservato.

Il terzo zero-day di VCO in quattro mesi

Per SecurityWeek la CVE-2026-114625 è la terza vulnerabilità di VCO sfruttata come zero-day in quattro mesi, dopo la CVE-2026-16812 di luglio e la CVE-2026-93952 di settembre. BleepingComputer allarga il conto a tutto il 2026: oltre a questa, Arista ha corretto altri tre zero-day sfruttati tra EOS e VCO on-prem, la CVE-2026-7473 a maggio e le due di luglio e settembre.

LeMagIT ricorda che Arista ha acquistato VeloCloud da Broadcom nel luglio 2025; il prodotto era prima nel catalogo di VMware, che lo aveva acquisito nel 2017.

Impatto per le aziende europee e italiane

L’orchestratore governa la rete SD-WAN che collega sedi e filiali, anche di strutture sanitarie distribuite sul territorio. Tre zero-day sfruttati in pochi mesi indicano che il prodotto è un obiettivo ricorrente: chi ha un VCO on-prem, o lo fa gestire a un fornitore, dovrebbe trattarlo come un sistema critico con aggiornamenti rapidi e accesso alla gestione limitato. Per i soggetti NIS2 la gestione tempestiva delle vulnerabilità è tra le misure richieste e una compromissione va valutata per la notifica allo CSIRT Italia dell’ACN.

Cosa fare subito

1. Inventario: verifica se tu o il tuo fornitore usate un VCO on-prem e con quale versione.
2. Aggiorna alla 5.2.3.18, 6.1.3.10 o 6.4.2.12 (o successive) secondo il ramo in uso.
3. Blocca e cerca 74.82.197.86 e 38.54.50.151 nei log del firewall e di VCO.
4. Analizza i log web di VCO: percorsi insoliti simili a URL, caratteri codificati, riferimenti a servizi interni, raffiche di richieste.
5. Prima di qualsiasi ripristino, se sospetti una compromissione, conserva log web, backend, di sistema e del database e i timestamp del file system.
6. Nell’attesa: interfaccia raggiungibile solo dalle reti di amministrazione, revisione delle attività degli amministratori, blocco delle porte in uscita non necessarie, controllo di web shell e processi backdoor.
7. Account: elimina gli account tenant inutilizzati, perché basta il ruolo con meno privilegi.

Come aiuta ARXDOME

ARX Sentry raccoglie i log dei firewall in un collettore centrale: le connessioni verso l’orchestratore, comprese quelle dagli IP indicati da Arista, restano consultabili anche se l’host viene compromesso. ARX Radar mostra quasi in tempo reale chi sta attaccando i tuoi indirizzi pubblici, ARX Expose segnala se un’interfaccia di gestione è esposta su Internet e con quali vulnerabilità note, e con ARX Horizon puoi cercare gli indicatori di compromissione dal portale.

Ultimo aggiornamento: 23 ottobre 2026