Arista corrige falha crítica em VeloCloud Orchestrator explorada em ataques
Isolar consoles de gestão expostos à internet ou aplicar patchs evita que logins só-leitura virem contas de superusuário
Em 22 de outubro a Arista divulgou a CVE-2026-114625, uma injeção de SQL crítica em VeloCloud Orchestrator (VCO) que está sendo explorada ativamente para permitir que usuários autenticados elevem privilégios para papéis de operador ou superusuário.
A falha exige acesso de rede à interface web do VCO e um login válido; o papel com menor privilégio embutido, Enterprise Read Only, é suficiente para ser abusado.
A Arista informou que os orchestrators Hosted e Dedicated já foram corrigidos e liberou correções on‑premises nos builds VCO 5.2.3.18, 6.1.3.10 e 6.4.2.12. A empresa também orientou clientes sobre caminhos de atualização e suporte via TAC.
Como medidas imediatas, a Arista e a comunidade recomendam: restringir o acesso web ao VCO a redes administrativas confiáveis; bloquear os dois endereços IP observados nos ataques (74.82.197.86 e 38.54.50.151); e buscar nos logs por caminhos de URL incomuns, payloads codificados, tráfego de saída suspeito e artefatos de backdoor.
Este é o terceiro zero‑day do VeloCloud Orchestrator reportado como explorado neste ano, o que aumenta o risco para equipes que expõem consoles de gestão ou reutilizam contas de baixo privilégio. Antes de qualquer remediação, preserve logs e timestamps de arquivos e, depois do patch, verifique se não restou comprometimento.