Atacantes estão explorando uma falha zero-day de injeção de SQL (linguagem usada para consultar bancos de dados) no VeloCloud Orchestrator (VCO), o sistema central de gerenciamento das redes SD-WAN (rede definida por software para conectar unidades distantes) da VeloCloud, segundo a própria empresa, em um alerta de segurança divulgado em 22 de outubro.
A falha permite que qualquer pessoa que consiga fazer login no orquestrador, mesmo com uma conta de cliente somente leitura, obtenha privilégios de operador, o nível mais alto de controle sobre o sistema.
Para os orquestradores locais (on-premises), a correção está nas versões VCO 5.2.3.18, 6.1.3.10 e 6.4.2.12, enquanto os orquestradores Hosted e Dedicated já receberam a correção.
A falha é monitorada como CVE-2026-114625 (identificador padrão de vulnerabilidade) e recebeu nota 9,9 na escala CVSS (sistema de pontuação de gravidade de vulnerabilidades). Orquestradores que rodam as versões que corrigiram as falhas da VCO exploradas em julho e setembro continuam afetados, porque essas versões são anteriores às novas correções.
A Arista comprou a linha de produtos SD-WAN da VeloCloud da Broadcom, negócio anunciado em julho de 2025. Esses produtos eram conhecidos anteriormente como VMware SD-WAN by VeloCloud.
Para explorar a falha, o atacante precisa de acesso de rede à interface web do orquestrador e de um login válido. O papel mínimo exigido é o Enterprise Read Only, o perfil integrado mais básico para usuários clientes. A VCO fica exposta por padrão, e nenhuma configuração da VCO impede essa exposição.
Na VCO, os operadores criam as contas de clientes e de parceiros, e cada parceiro pode gerenciar um grupo de clientes. A falha permite que um atacante atue como superusuário local, um papel com acesso total. Ela também pode permitir que o atacante afete o próprio host da VCO e exponha, modifique ou interrompa o orquestrador e os dados que ele gerencia.
O alerta não informa quando os ataques começaram, quais orquestradores foram atingidos nem o que os atacantes fizeram depois de explorar a falha.
A nova falha é a terceira na VCO desde o fim de julho que a Arista reportou como explorada e a primeira das três que exige login. Nem a falha de julho (CVE-2026-16812) nem a de setembro (CVE-2026-93952) exigiam login.
Versões afetadas e corrigidas
Cada linha de versões afetada tem sua própria correção, mostrada aqui ao lado da versão que corrigiu a falha de setembro na mesma linha.
Os produtos VeloCloud Gateway e VeloCloud Edge não são afetados. A linha de versões 7.0 não está na lista, e a Arista afirma que qualquer versão fora da lista não é vulnerável.
A Arista não verificou as versões que já chegaram ao fim do suporte. Clientes que usam uma linha sem suporte podem entrar em contato com o Centro de Assistência Técnica (TAC) da Arista para saber sobre as opções de atualização.
Até 22 de outubro, a falha de setembro estava corrigida apenas nas linhas 5.2 e 6.4. Na linha 6.1, ela afeta versões até a 6.1.3.7, e nenhuma versão corrigida é listada. Nenhum dos alertas informa se a versão 6.1.3.10 também corrige a falha de setembro.
Se você ainda não puder atualizar
Até que a versão corrigida seja instalada, a Arista recomenda as seguintes medidas:
- Limitar o acesso à interface web da VCO apenas a redes administrativas confiáveis.
- Monitorar a VCO em busca de conexões com endereços IP maliciosos conhecidos.
- Observar atividades de rede de saída inesperadas partindo do host da VCO.
- Considerar o bloqueio de portas de saída que a operação normal não necessita.
- Ficar atento a daemons de backdoor e webshells.
- Revisar a atividade recente de administradores em busca de alterações inesperadas.
Verificando comprometimento
Dois endereços IP foram vistos realizando os ataques, segundo a Arista. Bloqueie-os e verifique os registros em busca de qualquer sinal deles:
- IP (Protocolo de Internet): 74.82.197[.]86
- IP: 38.54.50[.]151
Também verifique os registros de acesso web da VCO em busca de requisições com componentes incomuns de caminho semelhante a URL, caracteres codificados, referências a serviços locais ou internos, ou altas taxas de requisições.
Se você suspeitar de comprometimento, preserve as evidências antes de corrigir qualquer coisa, sempre que possível. Isso inclui os registros de acesso web da VCO, da aplicação de backend, do sistema e do banco de dados, além dos carimbos de data e hora relevantes do sistema de arquivos.
Sobre as falhas de julho e setembro, a Arista alertou que um orquestrador comprometido também poderia dar aos atacantes acesso aos dispositivos VeloCloud Edge. Para esta falha, o alerta não informa se esse risco se aplica nem se a atualização remove o acesso que um atacante já tenha obtido.
