VeloCloud Orchestrator: Zero-Day CVE-2026-114625 aktiv ausgenutzt
Arista meldet eine aktiv ausgenutzte SQL-Injection im VeloCloud Orchestrator On-Prem. Mit CVE-2026-114625 erlangt jeder angemeldete Benutzer bis hinunter zur Rolle Enterprise Read Only Operator-Rechte. Abhilfe schaffen VCO 5.2.3.18, 6.1.3.10 und 6.4.2.12.
Arista warnt vor einer kritischen SQL-Injection im VeloCloud Orchestrator (VCO), die bereits aktiv ausgenutzt wird. Die Lücke CVE-2026-114625 mit CVSS 9.9 erlaubt jedem angemeldeten Benutzer, sich Operator-Rechte zu verschaffen, also die höchste Kontrollebene über das SD-WAN-Management. Betroffen sind ausschließlich On-Premises-Orchestratoren der Release-Züge 5.2, 6.1 und 6.4 vor den neuen Fix-Versionen 5.2.3.18, 6.1.3.10 und 6.4.2.12.
Nicht betroffen sind VeloCloud Edge, VeloCloud Gateway sowie gehostete und dedizierte Orchestratoren, die Arista bereits selbst gepatcht hat. Wer einen eigenen VCO betreibt, sollte heute handeln und nicht auf das nächste Wartungsfenster warten. Das gilt ausdrücklich auch für Systeme, die erst im Juli oder September wegen der damaligen Zero-Days aktualisiert wurden, denn diese Stände sind älter als die neuen Fixes. Hintergrund zur Vorgängerlücke bietet unser Bericht zu CVE-2026-93952 im VeloCloud Orchestrator.
Was ist passiert?
Arista hat am 22. Oktober 2026 das Security Advisory 0199 veröffentlicht. Die Schwachstelle ist als SQL-Injection (CWE-89) eingestuft und wird intern unter BUG2043622 geführt. Laut Advisory kann auf einem verwundbaren System jeder authentifizierte Benutzer Operator-Rechte erlangen und sich als lokaler „superuser operator“ ausgeben. Dazu gehört Zugriff auf Funktionen, die nur für den internen Gebrauch gedacht sind. Ein erfolgreicher Angriff kann außerdem den VCO-Host selbst beeinträchtigen und Vertraulichkeit, Integrität und Verfügbarkeit des Orchestrators und der verwalteten Daten gefährden.
Arista hat die Lücke nach eigener Aussage selbst entdeckt und bestätigt aktive Ausnutzung. Wann die Angriffe begannen, welche Orchestratoren betroffen waren und was die Angreifer danach taten, nennt das Advisory nicht. Es ist bereits die dritte ausgenutzte VCO-Lücke seit Ende Juli und die erste der drei, die eine Anmeldung voraussetzt. Im CISA-Katalog der bekannt ausgenutzten Schwachstellen (KEV) war CVE-2026-114625 zum Zeitpunkt der Prüfung noch nicht gelistet, die beiden Vorgänger CVE-2026-16812 und CVE-2026-93952 dagegen schon.
Wer ist betroffen?
Verwundbar sind VeloCloud Orchestrator On-Prem 5.2.x vor 5.2.3.18, 6.1.x vor 6.1.3.10 und 6.4.x vor 6.4.2.12. Der Release-Zug 7.0 steht nicht auf der Liste, und Arista erklärt Versionen außerhalb der Liste als nicht verwundbar. Versionen ohne Support hat der Hersteller allerdings nicht geprüft. Wer einen solchen Stand betreibt, muss mit dem Arista TAC über einen Upgrade-Weg sprechen.
Für einen Angriff braucht es Netzwerkzugang zur VCO-Weboberfläche und eine gültige Sitzung. Die nötige Mindestrolle ist Enterprise Read Only, die niedrigste eingebaute Mandantenrolle. Laut Arista ist der VCO standardmäßig erreichbar, und keine Einstellung verhindert die Exposition. Gerade bei Partnern mit vielen Kundenkonten genügt damit ein einziges kompromittiertes Lesekonto als Einstieg.
Wie kritisch ist das?
Sehr kritisch. Arista bewertet die Lücke mit CVSS 3.1 9.9 und CVSS 4.0 9.4. Technisch ist es eine Rechteausweitung nach Anmeldung, keine Lücke ohne Authentifizierung. Weil schon ein Lesekonto reicht, aktive Angriffe bestätigt sind und der VCO das gesamte SD-WAN steuert, ist die operative Dringlichkeit trotzdem hoch. Ein übernommener Orchestrator gibt Angreifern Zugriff auf Konfigurationen aller angebundenen Standorte.
Was sollten Admins jetzt tun?
- Version jedes On-Prem-VCO prüfen und mit 5.2.3.18, 6.1.3.10 und 6.4.2.12 abgleichen. Stände aus den Juli- und September-Updates gelten weiter als verwundbar.
- Auf die Fix-Version des jeweiligen Release-Zugs aktualisieren, bei nicht unterstützten Zügen das Arista TAC kontaktieren.
- Bis zum Update den Zugriff auf die VCO-Weboberfläche auf vertrauenswürdige Administrationsnetze beschränken.
- Die von Arista genannten Angreifer-IPs 74.82.197.86 und 38.54.50.151 blockieren und in den Logs suchen.
- Web-Zugriffslogs auf ungewöhnliche URL-artige Pfadbestandteile, kodierte Zeichen, Verweise auf lokale oder interne Dienste und hohe Anfrageraten prüfen.
- Unerwartete ausgehende Verbindungen des VCO-Hosts, Backdoor-Dienste, Webshells und auffällige Administratoränderungen untersuchen.
- Bei Verdacht vor der Bereinigung Web-, Anwendungs-, System- und Datenbanklogs sowie Dateisystem-Zeitstempel sichern.
Einordnung für Unternehmen
Für Unternehmen mit eigenem VeloCloud-Orchestrator ist das bereits der dritte Notfall-Patch innerhalb von drei Monaten. Das zeigt, dass ein VCO nicht frei aus dem Internet erreichbar sein sollte, auch wenn das Produkt dies standardmäßig vorsieht. Eine Zugangsbeschränkung auf Admin-Netze, saubere Rollenvergabe und regelmäßige Prüfung von Kundenkonten mindern das Risiko künftiger Lücken. Wer SD-WAN als Managed Service eines Dienstleisters bezieht, sollte dort aktiv nachfragen, ob ein eigener VCO betrieben wird und auf welchem Stand er ist.
Passende Anleitungen auf S-EDV
- Zero-Trust-Netzwerksegmentierung mit VLANs und Firewall-Regeln: Managementoberflächen in eigene Netze verlagern.
- Wazuh als SIEM auf Ubuntu 24.04 einrichten: Logs zentral sammeln und auf Angriffsspuren prüfen.
