Arista ha pubblicato le correzioni per una vulnerabilità critica di VeloCloud Orchestrator che risulta già sfruttata in attacchi reali. La falla, identificata come CVE-2026-16812, ha ottenuto il punteggio massimo CVSS di 10.0: una combinazione che impone alle organizzazioni interessate di accelerare l’aggiornamento, senza attendere i normali cicli di manutenzione dell’infrastruttura.
Il problema riguarda esclusivamente VeloCloud Orchestrator On-Prem, la versione installata e gestita direttamente dalle imprese. Il software consente di amministrare centralmente le reti SD-WAN che collegano filiali, data center e ambienti cloud. La posizione dell’orchestratore nell’architettura aziendale amplia quindi le possibili conseguenze di una compromissione: non si tratta soltanto di un’applicazione esposta, ma di un componente con visibilità e funzioni di controllo sull’intera rete distribuita.
Dal punto di vista tecnico, CVE-2026-16812 è una vulnerabilità di OS command injection. Un aggressore remoto non autenticato può raggiungere funzionalità interne privilegiate che non erano destinate a essere accessibili dall’esterno. Per tentare lo sfruttamento serve l’accesso all’interfaccia web, ma non sono richieste credenziali. Arista ha inoltre precisato che l’orchestratore on-premises è esposto per impostazione predefinita e che nessuna configurazione permette di rimuovere completamente tale esposizione.
In attesa dell’installazione delle patch, l’azienda raccomanda di limitare l’interfaccia alle reti di gestione considerate affidabili e di bloccare gli indirizzi IP associati agli attacchi osservati. Arista ha pubblicato tre indirizzi IP, senza però indicare chi stia sfruttando la vulnerabilità, quando siano iniziate le offensive o quanti clienti risultino coinvolti. Una compromissione potrebbe colpire riservatezza, integrità e disponibilità dell’orchestratore e dei dati amministrati, oltre a consentire l’accesso ai dispositivi VeloCloud Edge.
La conferma dello sfruttamento sul campo ha portato la CISA a inserire rapidamente la vulnerabilità nel catalogo Known Exploited Vulnerabilities. Il KEV raccoglie falle per le quali esistono prove di abusi nel mondo reale. La direttiva collegata al catalogo riguarda le agenzie civili federali statunitensi, ma la lista viene utilizzata anche da numerosi team di sicurezza del settore privato per stabilire quali aggiornamenti debbano avere la precedenza.
Lo scenario cambia per chi utilizza i servizi VeloCloud Orchestrator ospitati o dedicati di Arista: queste installazioni erano già state corrette prima della pubblicazione dell’avviso. Per gli ambienti on-premises, le patch sono disponibili nelle versioni 5.2.3.14, 6.1.3.4, 6.4.2.4 e 7.0.0.1. L’indicazione rivolta ai clienti che eseguono release precedenti è di procedere immediatamente con l’aggiornamento.
Il caso si inserisce in una sequenza di vulnerabilità che, nell’ultimo anno, ha coinvolto apparati di rete, VPN, firewall e altri software aziendali collocati ai margini dell’infrastruttura. Il modello ricorrente vede gli attaccanti muoversi prima che i clienti abbiano ricevuto e applicato una correzione. Per i responsabili della sicurezza, la gestione del rischio sugli strumenti edge-facing richiede quindi inventari aggiornati, interfacce amministrative isolate e procedure capaci di trasformare rapidamente un avviso di sicurezza in un intervento operativo.