Arista waarschuwt voor een kritieke SQL-injectie in de VeloCloud Orchestrator (VCO). De aanval gebruikt een zero-day die al actief wordt misbruikt. Omdat de Orchestrator het centrale beheerplatform is voor VeloCloud SD-WAN-netwerken, kan succesvolle exploitatie leiden tot diepgaande controle over accounts en systeemgedrag.
De kwetsbaarheid is geregistreerd als CVE-2026-114625 en heeft een CVSS-score van 9.9. Cruciaal: een aanvaller heeft niet alleen netwerktoegang nodig, maar ook een geldige login—zelfs met een read-only klantaccount kan iemand operatorrechten krijgen.
In dit artikel lees je wat er precies misgaat, welke releases je moet controleren en welke maatregelen je direct kunt treffen als upgraden nog niet lukt.
Wat doet de SQL-injectie VeloCloud Orchestrator?
De VCO is de centrale managementmodule voor VeloCloud SD-WAN. Via de webinterface beheerders en partners. De gemelde zero-day maakt het mogelijk dat een aanvaller, met toegang tot de Orchestrator en een geldige sessie, operatorrechten kan verkrijgen.
Volgens Arista is de vereiste rol minimaal Enterprise Read Only, wat bij klantgebruikers de laagste ingebouwde rol is. Daarmee is de drempel voor misbruik verlaagd: wie kan inloggen, kan in dit geval mogelijk direct escaleren.
Waarom is dit zo ernstig?
Het effect gaat verder dan alleen extra rechten binnen de applicatie. Arista beschrijft dat de kwetsbaarheid een aanvaller in staat kan stellen op te treden als een lokale superuser—een rol met volledige toegang. Daarnaast kan de aanvaller mogelijk ook de VCO-host beïnvloeden.
Concreet noemt de advisory de mogelijkheid om de Orchestrator te blootstellen, wijzigen of verstoren, inclusief de data die het systeem beheert.
Welke VCO-versies zijn kwetsbaar en welke fix werkt?
Voor on-premises Orchestrators geeft Arista meerdere versies waarop je moet bijwerken. De beveiligingsfix zit in:
- VCO 5.2.3.18
- VCO 6.1.3.10
- VCO 6.4.2.12
Voor Hosted en Dedicated Orchestrators meldt Arista dat ze al gepatcht zijn.
Let op: oudere “fixed” releases kunnen nog steeds treffen
Arista benadrukt dat Orchestrators die draaien op releases die eerder door fix-sets zijn geüpdatet, toch kwetsbaar kunnen blijven. Dat komt doordat die eerdere versies ouder zijn dan de nieuwe verbeteringen. Met andere woorden: een eerdere update garandeert niet automatisch dat je veilig zit voor deze specifieke zero-day.
Gateway en Edge niet getroffen
Belangrijk detail: VeloCloud Gateway en VeloCloud Edge worden niet als getroffen componenten genoemd. Ook geeft Arista aan dat de 7.0 release train niet in de lijst voorkomt en dat elke release die niet in de advisory-lijst staat volgens Arista niet kwetsbaar is.
VCO is standaard te bereiken: dit verhoogt het risico
Om de kwetsbaarheid te misbruiken is netwerktoegang tot de webinterface van de Orchestrator nodig, plus een geldige login. Arista stelt dat VCO standaard is blootgesteld en dat er geen VCO-instelling is die voorkomt dat de webinterface benaderbaar is.
Dit betekent dat de technische en operationele setting—zoals wie kan inloggen en vanaf waar de webinterface bereikbaar is—direct invloed heeft op je blootstelling.
Wat je nu kunt doen als upgraden nog niet lukt
Arista geeft een reeks praktische stappen voor de periode tot je de fix kunt installeren. Gebruik ze om de aanvalskans te beperken en om tekenen van compromittering sneller te zien.
- Beperk toegang tot de VCO-webinterface tot vertrouwde administratieve netwerken.
- Monitor de VCO op verbindingen vanuit bekende kwaadwillende IP-adressen.
- Let op onverwachte outbound netwerkactiviteit vanuit de VCO-host.
- Overweeg outbound-poorten te blokkeren die niet nodig zijn voor normale werking.
- Zoek naar backdoor-achtige diensten en webshells.
- Controleer recente activiteiten van beheerders op onverwachte wijzigingen.
Deze maatregelen helpen niet alleen om aanvallen af te remmen, maar ook om sneller te signaleren of een compromis al heeft plaatsgevonden.
Check op compromittering: IP’s, logging en verdachte patronen
Arista noemt twee IP-adressen die bij aanvallen zijn gezien. Als je die ziet in je omgeving, neem dan direct actie.
- 74.82.197.86
- 38.54.50.151
Daarnaast adviseert Arista om de VCO web access logs te analyseren. Let daarbij op requests met ongebruikelijke URL-achtige padcomponenten, gecodeerde tekens, verwijzingen naar lokale of interne services en hoge request rates.
Als je een vermoeden hebt van een compromis, adviseert Arista om—waar mogelijk—eerst bewijs veilig te stellen voordat je repareert. Denk aan webtoegang, backend-applicatielogs, systeem- en databanklogs en de relevante bestandstijdstempels.
Extra aandacht: eerdere VCO-kwetsbaarheden
De advisory plaatst deze zero-day in context: het is de derde gemelde VCO-kwetsbaarheid die Arista sinds eind juli aangeeft als uitgebuit. Bovendien is het de eerste van die drie die een login vereist.
Over de eerdere issues (zoals de kwetsbaarheden die Arista in juli en september rapporteerde) waarschuwde Arista dat een gecompromitteerde Orchestrator ook toegang kan geven tot VeloCloud Edge-apparaten. Voor deze nieuwe kwetsbaarheid noemt de advisory niet of dat dezelfde impact heeft.
Praktische beveiligingsaanpak voor beheerders
Naast patching draait dit incident ook om volwassen toegangsbeheer en zichtbaarheid. Borg daarom:
- Segmentatie van beheernetwerken en strikt toegestane bron-IP’s.
- Strakke logging en retentie voor web, applicatie en OS-niveau.
- Snelle triage: bij verdachte URL-patronen of spikes in request rates direct onderzoeken.
- Inventarisatie van versies, inclusief het verschil tussen eerder gepatchte release-trains en de specifieke fixed versies uit de advisory.
Wil je bredere achtergrond over hoe organisaties kwetsbaar worden door webapplicatie-exploitatie en wat je helpt vóórdat er een patch beschikbaar is? Lees dan ook ons artikel over PHP2Shell: wat echt helpt vóór de patch. De lessen rond logging, toegangsbeperking en detectie sluiten goed aan op dit type aanvalspatroon.
Snelle checklist: jouw vervolgstappen
Om ervoor te zorgen dat je team geen tijd verliest, kun je dit als korte werkvolgorde gebruiken:
- Identificeer de exacte VCO-versie en of je on-premises draait of Hosted/Dedicated.
- Vergelijk de versie met de fixes: 5.2.3.18 / 6.1.3.10 / 6.4.2.12 voor on-premises.
- Controleer of de webinterface alleen bereikbaar is vanaf vertrouwde administratieve netwerken.
- Bekijk web access logs op verdachte URL-componenten, encoding en afwijkende requestvolumes.
- Zoek in logs naar connecties van 74.82.197.86 en 38.54.50.151.
- Als je een incident vermoedt: bewijsmateriaal veiligstellen en vervolgens pas maatregelen nemen.
Dat zijn precies de stappen die Arista aanbeveelt om de dreiging te beperken totdat de update is doorgevoerd.
Conclusie
De SQL-injectie VeloCloud Orchestrator (CVE-2026-114625) is een zero-day die volgens Arista actief wordt uitgebuit. Met een CVSS-score van 9.9 en het vermogen om—na inloggen—operator- en mogelijk superuser-achtige privileges te verkrijgen, is dit een incident dat je prioriteit moet geven boven reguliere onderhoudsvensters.
Werk je VCO bij naar de genoemde fixed releases waar van toepassing, beperk direct de toegang tot de webinterface en controleer intensief de logs op verdachte patronen en de genoemde IP’s. Alleen zo verklein je de kans dat een aanval doorzet of dat je al te laat bent met ontdekken.
Bron: https://thehackernews.com/2026/10/arista-warns-of-critical-velocloud-sql.html
