Arista випустила патч для CVE-2026-114625 — критичної вразливості SQL-ін'єкції у VeloCloud Orchestrator (VCO), яку зловмисники використовували як zero-day. За даними SecurityWeek, це третій zero-day у VeloCloud Orchestrator, який експлуатували за останні чотири місяці. Для будь-якої команди, яка використовує це програмне забезпечення, zero-day в Arista VeloCloud Orchestrator — це сигнал якнайшвидше встановити патч і переосмислити, як захищено рівень управління SD-WAN.

Що Arista виправила у VeloCloud Orchestrator

Вразливість, що має ідентифікатор CVE-2026-114625, — це критична вразливість SQL-ін'єкції у VeloCloud Orchestrator. SQL-ін'єкція виникає, коли програмне забезпечення не обробляє належним чином вхідні дані, що передаються до бази даних. Зловмисник може створювати запити, які змушують базу даних робити те, для чого вона не призначена, наприклад читати або змінювати дані.

Ключова деталь полягає в тому, що цю вразливість експлуатували як zero-day, тобто зловмисники використовували її до того, як з'явився патч. Тепер Arista випустила патч. Джерельна стаття коротка і не надає додаткових технічних подробиць, тому адміністраторам слід звернутися до власного бюлетеня Arista щодо вразливих версій, випусків із виправленнями та будь-яких індикаторів компрометації.

Що з матеріалу справді зрозуміло, то це закономірність. Це третій zero-day у VCO, який експлуатували протягом чотирьох місяців. Публікації з пошуку за ранню осінь також описують попередні бюлетені VCO та активну експлуатацію, що свідчить про те, що зловмисники повертаються до того самого продукту.

Чому консолі управління SD-WAN постійно стають ціллю

Оркестратор — це площина управління для програмно-визначеної мережі WAN. Саме там адміністратори визначають політики, керують пристроями та контролюють, як трафік проходить між офісами, хмарними сервісами й віддаленими користувачами. Його компрометація може бути ціннішою, ніж компрометація одного периферійного пристрою, оскільки одна точка опори потенційно може впливати на багато сайтів.

Є кілька причин, чому ці консолі привертають увагу:

  • Концентрована влада. Платформа управління зберігає конфігурацію та забезпечує видимість усієї мережі.
  • Відкритість. Деякі оркестратори повинні бути доступними для віддалених пристроїв і адміністраторів, що може зробити вебінтерфейс доступним з інтернету.
  • Менша увага. Організації часто ретельно зміцнюють периферійні міжмережеві екрани та VPN-шлюзи, тоді як сервер управління за ними отримує легший підхід.
  • Доведена віддача. Коли зловмисники неодноразово знаходять помилки в одному компоненті, у них є причина продовжувати пошук.

Це вписується в ширшу тенденцію тиску на периферійну та мережеву інфраструктуру. Ми бачили схожий ритм, коли Citrix випустила третій патч для zero-day у NetScaler за один тиждень, а щотижневі огляди, як-от цей погляд на zero-day, AI-агентів і витоки даних, показують, наскільки звично zero-day тепер фігурують у картині загроз.

Як патчити та моніторити ваш оркестратор

Якщо ваша організація використовує VeloCloud Orchestrator, ставтеся до цього як до пріоритетної зміни, а не як до рутинного пункту обслуговування.

  1. Застосуйте виправлення Arista. Перевірте бюлетень постачальника щодо правильної виправленої версії для вашого розгортання та негайно заплануйте оновлення.
  2. Обмежте доступ. Розмістіть інтерфейс управління за VPN, списком дозволених або іншим контролем доступу, щоб він не був відкритий для всього інтернету. Також обмежте, хто може отримати до нього доступ усередині мережі.
  3. Перегляньте журнали. Оскільки експлуатація відбувалася до появи патча, перегляньте журнали вебсервера та бази даних на предмет незвичайних запитів, неочікуваних облікових записів адміністраторів або змін конфігурації.
  4. Змініть облікові дані. Якщо ви підозрюєте exposure, змініть паролі адміністраторів, API-токени та будь-які секрети, що зберігаються на платформі.
  5. Готуйтеся до повторень. З трьома zero-day за чотири місяці припускайте, що бюлетені продовжаться. Переконайтеся, що хтось відповідає за моніторинг бюлетенів постачальника і що ви можете патчити поза циклом.

Ніщо з цього не потребує нових продуктів. Здебільшого це потребує ставлення до оркестратора з такою ж ретельністю, як до периметрового міжмережевого екрана.

Що це означає для вас

Якщо ви IT- або фахівець із безпеки, який працює з VCO, дія пряма: патч, заблокуйте доступ і перевірте на ознаки попередньої компрометації.

Якщо ви віддалений працівник або людина, яка дбає про приватність, ви, ймовірно, самі не керуєте оркестратором, але ваш роботодавець або постачальник послуг може це робити. Інфраструктура SD-WAN і VPN розташована між вами та ресурсами, які ви використовуєте, тому компрометація рівня управління може вплинути на те, як обробляється трафік. Розумно запитати у вашої IT-команди, чи застосували вони виправлення і як вони захищають свої консолі управління.

Це також підкріплює ширшу звичку: жоден окремий інструмент не є гарантією. Мережеві шлюзи, системи віддаленого доступу та їхні панелі керування — усе це програмне забезпечення, а програмне забезпечення має недоліки. Підтримання систем в актуальному стані та обмеження exposure мають значення так само, як і сама технологія. Та сама тема з'являється в матеріалах про атаки на Wi-Fi у готелях і zero-day у Zimbra, де патчинг і обережні звички підключення знову були центральними.

Ключові висновки

  • Arista випустила патч для CVE-2026-114625 — критичної вразливості SQL-ін'єкції у VeloCloud Orchestrator, яку експлуатували як zero-day.
  • Це третій zero-day у VCO, який експлуатували за чотири місяці, тому до консолей управління слід ставитися як до цінних цілей.
  • Застосуйте патч Arista, обмежте доступ до консолі та перегляньте журнали на предмет підозрілої активності.
  • Запитайте у вашої IT-команди або постачальника, як вони захищають системи, що керують вашим мережевим трафіком.

Zero-day в Arista VeloCloud Orchestrator — ще одне нагадування про те, що інструменти, які контролюють мережу, заслуговують на таку ж ретельність, як і пристрої, якими вони керують. Щоб зрозуміти ширшу картину атак на периферійну та мережеву інфраструктуру, прочитайте наш матеріал про нещодавні патчі для zero-day у Citrix NetScaler, а потім перевірте власні консолі управління вже сьогодні.