A Arista confirmou a exploração ativa de uma vulnerabilidade crítica no VeloCloud Orchestrator (VCO) on-prem, plataforma usada para administrar redes SD-WAN. Identificada como CVE-2026-114625, a falha de injeção de SQL pode permitir que um usuário autenticado obtenha privilégios de operador e alcance funções internas do orquestrador.
A vulnerabilidade recebeu CVSS 3.1 de 9,9 e CVSS 4.0 de 9,4. A CISA incluiu o problema no catálogo Known Exploited Vulnerabilities (KEV) em 23 de outubro de 2026, com prazo de correção indicado para 26 de outubro. O advisory da Arista é datado de 22 de outubro e informa que os ataques já estavam ocorrendo.
Como a falha afeta o VeloCloud Orchestrator
O problema é classificado como CWE-89, uma injeção de SQL. No VCO afetado, um atacante com acesso à interface web e uma sessão autenticada pode alcançar funcionalidades privilegiadas que deveriam permanecer restritas a operações internas.
O requisito de autenticação não torna o risco baixo. A Arista informa que o papel mínimo necessário é Enterprise Read Only, o menor papel de tenant disponível. Assim, uma conta de baixo privilégio comprometida pode ser usada como ponto de partida para obter privilégios de operador e se passar pelo usuário local “superuser operator”.
O impacto potencial abrange confidencialidade, integridade e disponibilidade do orquestrador e dos dados gerenciados por ele. Uma alteração indevida na plataforma SD-WAN pode afetar políticas, conectividade entre locais, rotas, serviços de rede e a capacidade de administração centralizada.
Produtos e versões afetadas
O advisory da Arista informa que o produto afetado é o VeloCloud Orchestrator on-prem, anteriormente conhecido como VeloCloud Orchestrator by Broadcom. O serviço hospedado, incluindo a modalidade dedicada, já havia sido corrigido.
| Ramo do VCO | Versões afetadas | Primeira versão corrigida |
|---|---|---|
| 5.2.x | Antes da 5.2.3.18 | 5.2.3.18 ou posterior |
| 6.1.x | Antes da 6.1.3.10 | 6.1.3.10 ou posterior |
| 6.4.x | Antes da 6.4.2.12 | 6.4.2.12 ou posterior |
A Arista observa que as versões fora da lista não são vulneráveis de acordo com a avaliação do advisory. Versões fora de suporte não foram avaliadas. Antes de atualizar, confirme o ramo instalado e o procedimento indicado pelo fabricante.
Exposição e sinais de exploração
O VCO é exposto por padrão. A exploração exige acesso de rede à interface web e uma sessão autenticada, mas não há uma configuração que elimine a exposição enquanto o software vulnerável permanecer instalado.
A Arista identificou os endereços 74.82.197.86 e 38.54.50.151 como fontes observadas nos ataques. Eles devem ser bloqueados nos controles de borda e pesquisados nos logs. O bloqueio reduz uma parte da atividade conhecida, mas não substitui a atualização e não deve ser tratado como prova de que outros endereços não foram usados.
Procure requisições com componentes de caminho incomuns, caracteres codificados, referências a serviços locais ou internos e taxas elevadas de requisições. Correlacione os registros de acesso web do VCO com logs do backend, do sistema, do banco de dados e de alterações administrativas.
Se houver indícios de comprometimento, preserve esses logs e os horários de modificação relevantes antes de iniciar a remediação, sempre que isso for operacionalmente possível. A investigação deve procurar mudanças inesperadas, webshells, daemons desconhecidos, conexões de saída incomuns e novas atividades de administrador.
Recomendações práticas
Atualize imediatamente. Migre o VCO para 5.2.3.18 ou posterior, 6.1.3.10 ou posterior, ou 6.4.2.12 ou posterior, de acordo com o ramo utilizado. Se a instalação estiver fora de suporte, entre em contato com o suporte técnico da Arista para definir uma alternativa segura.
Restrinja a interface de administração. Permita acesso ao VCO somente a partir de redes administrativas confiáveis, bastions ou VPNs corporativas. Revise regras de firewall e evite publicar a interface diretamente na internet quando isso não for indispensável.
Reavalie as contas. Remova usuários sem necessidade operacional, aplique o menor privilégio e revise contas com o papel Enterprise Read Only. Procure logins fora do padrão, sessões em horários incomuns e sinais de reutilização de credenciais. Aplique MFA quando a arquitetura disponível permitir.
Bloqueie e monitore os indicadores. Bloqueie os dois IPs divulgados pela Arista e procure ocorrências históricas nos logs de acesso. Monitore conexões de saída do VCO e considere bloquear portas que não sejam necessárias para a operação normal.
Preserve evidências antes de limpar. Se houver suspeita de exploração, registre o estado do sistema, preserve logs web, de aplicação, sistema e banco de dados e documente alterações de arquivos. Isole o equipamento conforme o plano de resposta e evite apagar artefatos que possam esclarecer a sequência dos eventos.
Conclusão
A CVE-2026-114625 combina uma falha de injeção de SQL com uma condição de exploração especialmente relevante: uma conta autenticada de baixo privilégio pode alcançar funções internas e obter privilégios de operador. Como a Arista confirmou exploração ativa e a CISA incluiu a vulnerabilidade no KEV, organizações com VCO on-prem devem tratar a atualização como prioridade imediata.
O caminho recomendado é atualizar para uma versão corrigida, restringir a interface administrativa, bloquear os indicadores conhecidos e revisar os logs antes de qualquer limpeza caso exista suspeita de comprometimento. Não há indicação, nas fontes consultadas, de que produtos Arista EOS, VeloCloud Gateway ou VeloCloud Edge sejam afetados por esta CVE.
Fontes primárias
Arista Networks: Security Advisory 0199 — CVE-2026-114625.
CISA: Known Exploited Vulnerabilities Catalog.
CVE.org: CVE-2026-114625.
