Arista Networks heeft een noodpatch uitgebracht voor een kritieke zero-day in VeloCloud Orchestrator (VCO), het onderdeel waarmee beheerders hun SD-WAN-omgeving centraal aansturen. De kwetsbaarheid, geregistreerd als CVE-2026-114625, wordt al actief misbruikt bij on-premises installaties van VCO.
Het lek zit in een SQL-injectiefout in de webinterface van VCO. Een aanvaller die al over een geldige, geauthenticeerde sessie beschikt en toegang heeft tot de webinterface, kan via deze injectie rechten verhogen naar het niveau van “operator” en zich voordoen als de lokale superuser-operator. Daarmee krijgt de aanvaller toegang tot functionaliteit die eigenlijk alleen voor intern gebruik is bedoeld. Voor het misbruik is geen interactie van een gebruiker nodig en de technische drempel is volgens Arista laag.
Arista bevestigt dat de kwetsbaarheid al in aanvallen is ingezet. Het bedrijf noemt twee IP-adressen die bij het misbruik zijn waargenomen: 74.82.197.86 en 38.54.50.151. Over de identiteit van de aanvallers zegt Arista verder niets.
De patch is beschikbaar voor drie onderhoudslijnen: VCO 5.2.3.18 en hoger, 6.1.3.10 en hoger, en 6.4.2.12 en hoger. Beheerders die nog een oudere versie draaien, lopen risico.
Voor wie nog niet kan patchen, adviseert Arista een reeks tijdelijke maatregelen. Beperk de toegang tot de VCO-webinterface tot administratieve netwerken, blokkeer verkeer vanaf de twee genoemde IP-adressen en controleer recente beheerdersactiviteit op ongebruikelijke wijzigingen. Analyseer daarnaast de webtoegangslogs op verdachte patronen, zoals ongebruikelijke URL-paden, gecodeerde tekens, verwijzingen naar interne diensten en opvallend veel verzoeken in korte tijd. Bij een vermoeden van compromittering raadt Arista aan om webtoegangslogs, applicatielogs, systeemlogs, databaselogs en relevante bestandstijdstempels te bewaren voordat met herstel wordt begonnen, zodat forensisch onderzoek nog mogelijk blijft. Voor extra ondersteuning kan contact worden opgenomen met het Arista Technical Assistance Center.
VeloCloud Orchestrator wordt wereldwijd gebruikt door bedrijven en serviceproviders om SD-WAN-netwerken te beheren, vaak met honderden of duizenden aangesloten locaties per omgeving. Een misbruikte beheerinterface op dat niveau raakt dus al snel veel meer dan één bedrijf. Heeft uw organisatie of IT-partner een on-premises VCO draaien, controleer dan nu welke versie actief is en installeer de patch zo snel mogelijk. Is patchen op korte termijn niet mogelijk, zet dan in elk geval de genoemde IP-adressen op de blocklist en beperk de webinterface tot een beheernetwerk.
Bron: BleepingComputer
Wat betekent dit voor jouw bedrijf?
Draait uw organisatie een on-premises VeloCloud Orchestrator? Update per direct naar de patchversie voor uw tak en controleer de webtoegangslogs op de twee bekende kwaadaardige IP-adressen en op verdachte verzoeken naar interne functionaliteit.
Zelfde kwetsbaarheid
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.