Критическая уязвимость VeloCloud Orchestrator, которую уже используют в атаках, позволяет обычному аутентифицированному пользователю повысить привилегии до уровня оператора-суперпользователя. Arista Networks выпустила исправления для локальных инсталляций VeloCloud Orchestrator и рекомендует администраторам немедленно проверить журналы доступа: речь идёт о системе управления SD-WAN, которая часто стоит в самом центре корпоративной сетевой инфраструктуры.
Проблема получила идентификатор CVE-2026-114625. Как сообщает BleepingComputer, это SQL-инъекция с критическим уровнем опасности в On-Prem-версиях VCO. Для атаки злоумышленнику не нужен сложный эксплойт или участие жертвы, но необходимы базовая учётная запись, доступ к веб-интерфейсу VCO и действующая аутентифицированная сессия. Именно это делает баг особенно неприятным: первоначальный доступ может появиться после фишинга, утечки пароля или компрометации менее защищённой учётной записи, а затем атакующий быстро добирается до административных функций.
VeloCloud Orchestrator — веб-портал для настройки, мониторинга и управления VeloCloud SD-WAN и подключёнными периферийными устройствами. По данным Arista, успешная эксплуатация уязвимости VeloCloud Orchestrator даёт возможность выдавать себя за локального пользователя с правами superuser operator. В результате атакующий получает доступ к внутренним функциям, которые не должны быть доступны удалённо, и может поставить под угрозу конфиденциальность, целостность и доступность как самого оркестратора, так и данных под его управлением.
Для компаний это не очередная история про «один сервер, который надо обновить». SD-WAN контролирует связность филиалов, площадок, облачных ресурсов и edge-устройств. Захват панели управления потенциально позволяет не только изучить топологию сети, но и вмешаться в её конфигурацию. Конкретный набор последствий зависит от настроек и прав VCO в организации, однако сама возможность перейти от обычной учётной записи к операторской — достаточный повод рассматривать инцидент как риск для всей распределённой сети.
Arista сообщает, что управляемые хостинговые развёртывания уже исправлены, если работают на версиях 5.2.3.18 и выше, 6.1.3.10 и выше либо 6.4.2.12 и выше. Владельцам локальных развёртываний нужно сверить свою ветку ПО с бюллетенем производителя и установить доступное обновление. До установки патча вендор советует ограничить веб-интерфейс VCO административными сетями, а не оставлять его доступным из широких пользовательских сегментов или через публичный интернет.
Отдельно стоит проверить недавние действия администраторов и журналы веб-доступа VCO. Поводом для расследования могут быть URL с нетипичными путями, закодированными символами, обращениями к локальным или внутренним сервисам, а также необычно высокий темп запросов. В Arista также назвали два IP-адреса, замеченные в текущих атаках: 74.82.197.86 и 38.54.50.151. Их следует заблокировать на сетевом периметре, если это не противоречит внутренним процедурам реагирования, но одной блокировкой ограничиваться нельзя: адреса меняются быстрее, чем завершается согласование изменений в части компаний.
Если есть признаки компрометации, Arista просит до начала восстановления сохранить логи веб-доступа VCO, серверные и прикладные журналы, логи базы данных и временные метки файловой системы. Это практичный совет: поспешная очистка сервера или переустановка без артефактов лишит команду возможности понять, когда началась атака, какие учётные записи были задействованы и успел ли злоумышленник изменить конфигурацию. За дополнительной помощью производитель предлагает обращаться в свой центр технической поддержки.
Это уже четвёртая активно эксплуатируемая zero-day-уязвимость, исправленная Arista в 2026 году: ранее компания выпускала патчи для CVE-2026-7473 в мае, CVE-2026-16812 в июле и CVE-2026-93952 в сентябре. Повторяющийся сценарий показывает, куда смещается внимание атакующих: не обязательно ломать каждый маршрутизатор или филиал по отдельности, если можно атаковать центральную систему управления. Для российских команд вывод довольно приземлённый: инвентаризация VCO, ограничение доступа к консоли и проверка логов должны идти одновременно с установкой обновления, а не после неё.
