Arista выпустила бюллетень безопасности, касающийся критической уязвимости CVE-2026-114625, обнаруженной в их VeloCloud Orchestrator. Злоумышленники активно используют этот недостаток, имеющий оценку CVSS 9.9. Уязвимость позволяет пользователям с учетной записью только для чтения получить полные привилегии оператора. Это возможно благодаря специально созданному SQL-запросу, который может манипулировать данными запросов на стороне сервера. Для эксплуатации требуется сетевой доступ к веб-интерфейсу VCO и действительные учетные данные. Это третья уязвимость VeloCloud Orchestrator, эксплуатируемая злоумышленниками и сообщенная Arista с июля, но первая, требующая аутентификации. Последствия значительны, поскольку учетная запись оператора контролирует всю SD-WAN инфраструктуру для всех клиентов, управляемых арендатором. Уязвимость также потенциально может скомпрометировать сам хост VCO. Конкретные исправленные версии доступны для версий 5.2, 6.1 и 6.4, а облачные и выделенные оркестраторы уже исправлены. Клиентам, использующим неподдерживаемые версии, следует связаться с Arista для получения вариантов обновления. Временные меры включают ограничение доступа к веб-интерфейсу и мониторинг подозрительной активности. Arista выявила два IP-адреса, используемых в атаках, и рекомендует клиентам заблокировать их и искать в журналах связанную активность.