VeloCloud Orchestrator: versiuni corectate și IP-urile atacurilor

CVE-2026-114625 din Arista VeloCloud Orchestrator (VCO) on-prem, o injecție SQL cu CVSS 9.9 care permite oricărui utilizator autentificat să se prezinte drept „superuser operator”, a fost descrisă în articolul din 23 octombrie, scris doar pe baza catalogului KEV al CISA. De atunci, avizul de securitate 0199 al Arista, preluat de BleepingComputer, SecurityWeek și LeMagIT, și avizul AV26-1080 al Canadian Centre for Cyber Security au adăugat ce îți trebuie dacă administrezi un orchestrator: versiunile corectate, adresele IP de la care au pornit atacurile, ce să cauți în loguri și măsurile de atenuare până la actualizare.

Versiuni afectate și corectate

Potrivit avizului canadian și SecurityWeek, sunt afectate toate versiunile VCO anterioare versiunilor:

• 5.2.3.18;
• 6.1.3.10;
• 6.4.2.12.

Corecția este inclusă în aceste versiuni și în cele ulterioare. Instanțele găzduite au fost deja actualizate de Arista; dacă ai un orchestrator on-prem, trebuie să instalezi corecția singur. Pentru SecurityWeek, actualizarea la o versiune corectată este soluția recomandată de Arista, iar celelalte măsuri servesc doar până atunci.

Cine o poate exploata

Sursele sunt de acord asupra condițiilor: atacatorul trebuie să ajungă la interfața web VCO și să aibă o sesiune autentificată validă. SecurityWeek precizează, citând Arista, că ajunge rolul de tenant integrat cu cele mai mici privilegii, că instalările VCO sunt expuse în mod implicit și că „nu există nicio configurație care să poată împiedica expunerea”. BleepingComputer și LeMagIT descriu injecția ca fiind puțin complexă și fără nevoie de interacțiunea utilizatorului.

Exploatarea a fost detectată chiar de Arista (SecurityWeek). Nicio sursă nu spune cine se află în spatele atacurilor, câte organizații au fost afectate sau ce au făcut atacatorii după acces.

Indicatori și ce să cauți în loguri

Arista a publicat două adrese IP observate în atacuri, preluate de BleepingComputer și SecurityWeek:

• 74.82.197.86
• 38.54.50.151

Blochează-le și caută-le în loguri. În logurile de acces web VCO, Arista sugerează să cauți și:

• cereri cu componente de cale asemănătoare unor URL-uri neobișnuite;
• caractere codificate;
• trimiteri către servicii locale sau interne;
• frecvențe ridicate ale cererilor.

Sursele nu descriu în detaliu lanțul de atac și nu publică alți indicatori, precum hash-uri de fișiere sau nume de web shell-uri.

Dacă suspectezi o compromitere, Arista cere să păstrezi dovezile înainte de remediere, acolo unde este posibil: logurile de acces web VCO, logurile aplicației backend, logurile de sistem, logurile bazei de date și marcajele de timp ale sistemului de fișiere. Pentru asistență trimite la TAC-ul său.

Măsuri de atenuare până la actualizare

Până la instalarea versiunii corectate, Arista recomandă (BleepingComputer și SecurityWeek):

• limitarea accesului la interfața web VCO la rețelele de administrare;
• verificarea activității recente a administratorilor pentru modificări neobișnuite;
• monitorizarea conexiunilor de la IP-urile cunoscute și a acceselor suspecte.

Doar SecurityWeek mai menționează două măsuri: blocarea porturilor de ieșire inutile și verificarea prezenței unor procese backdoor și web shell-uri pe gazdă. În termeni MITRE ATT&CK, exploatarea corespunde T1190 (Exploit Public-Facing Application) cu un cont valid (T1078); web shell-urile ar intra la T1505.003, dar sursele le menționează ca verificare recomandată, nu ca fapt observat.

Al treilea zero-day VCO în patru luni

Potrivit SecurityWeek, CVE-2026-114625 este a treia vulnerabilitate VCO exploatată ca zero-day în patru luni, după CVE-2026-16812 din iulie și CVE-2026-93952 din septembrie. BleepingComputer extinde socoteala la tot anul 2026: pe lângă aceasta, Arista a corectat alte trei zero-day-uri exploatate în EOS și VCO on-prem, CVE-2026-7473 în mai și cele din iulie și septembrie.

LeMagIT amintește că Arista a cumpărat VeloCloud de la Broadcom în iulie 2025; produsul făcea parte înainte din catalogul VMware, care îl achiziționase în 2017.

Impactul pentru companiile europene și italiene

Orchestratorul conduce rețeaua SD-WAN care leagă sediile și filialele, inclusiv pe cele ale unităților medicale răspândite pe un teritoriu. Trei zero-day-uri exploatate în câteva luni arată că produsul este o țintă recurentă: dacă ai un VCO on-prem sau îl administrează un furnizor pentru tine, tratează-l ca pe un sistem critic, cu actualizări rapide și acces limitat la administrare. Pentru entitățile NIS2, gestionarea la timp a vulnerabilităților face parte din măsurile cerute, iar o compromitere trebuie evaluată pentru notificarea către CSIRT-ul național, care în Italia este CSIRT Italia din cadrul ACN.

Ce să faci acum

1. Inventar: verifică dacă tu sau furnizorul tău folosiți un VCO on-prem și ce versiune are.
2. Actualizează la 5.2.3.18, 6.1.3.10 sau 6.4.2.12 (ori ulterioare), în funcție de ramura folosită.
3. Blochează și caută 74.82.197.86 și 38.54.50.151 în logurile firewallului și ale VCO.
4. Analizează logurile web VCO: căi neobișnuite asemănătoare unor URL-uri, caractere codificate, trimiteri către servicii interne, rafale de cereri.
5. Înainte de orice restaurare, dacă suspectezi o compromitere, păstrează logurile web, backend, de sistem și ale bazei de date și marcajele de timp ale sistemului de fișiere.
6. Între timp: interfață accesibilă doar din rețelele de administrare, verificarea activității administratorilor, blocarea porturilor de ieșire inutile, căutarea de web shell-uri și procese backdoor.
7. Conturi: șterge conturile de tenant nefolosite, pentru că ajunge rolul cu cele mai puține privilegii.

Cum ajută ARXDOME

ARX Sentry colectează logurile firewallurilor într-un colector central: conexiunile către orchestrator, inclusiv cele de la IP-urile indicate de Arista, rămân disponibile chiar dacă gazda este compromisă. ARX Radar arată aproape în timp real cine îți atacă adresele publice, ARX Expose semnalează dacă o interfață de administrare este expusă pe Internet și ce vulnerabilități cunoscute are, iar cu ARX Horizon poți căuta indicatorii de compromitere din portal.

Ultima actualizare: 23 octombrie 2026