Arista Networks heeft beveiligingsupdates uitgerold voor een door aanvallers misbruikte zero-day in zijn gecentraliseerde managementtool VeloCloud Orchestrator (VCO). De kwetsbaarheid staat bekend als CVE-2026-114625 en betreft een SQL-injectie die op afstand kan worden uitgebuit. Met een CVSS-score van 9,9 is dit een probleem dat organisaties die VCO on-premiment gebruiken, niet kunnen uitstellen.
In dit artikel lees je wat er precies mis kan gaan, welke VCO-versies zijn getroffen, en welke maatregelen Arista adviseert wanneer je nog niet (volledig) kunt patchen.
Wat is er mis in VeloCloud Orchestrator?
De kern van het risico is SQL-injectie in VeloCloud Orchestrator: een aanvaller kan via de webinterface een kwetsbaar pad vinden waardoor hij of zij toegang krijgt tot bevoorrechte interne functionaliteit. Arista beschrijft dat een succesvolle aanval zowel het VCO-systeem als de data die het beheert, kan raken op het vlak van vertrouwelijkheid, integriteit en beschikbaarheid.
Volgens de advisory kan op een getroffen systeem een geauthentiseerde gebruiker operatorrechten verkrijgen. Daarbij kan de aanvaller zich voordoen als een interne “superuser operator”-gebruiker. Cruciaal: functionaliteit die bedoeld is voor intern gebruik, wordt dan alsnog toegankelijk.
Actief misbruik: waarom dit urgent is
Arista meldt expliciet dat de kwetsbaarheid is gedetecteerd en dat deze actief wordt uitgebuit. Dat betekent dat je niet alleen moet kijken naar een patchvenster, maar ook naar tekenen van compromis. Zeker omdat VCO in veel omgevingen is gekoppeld aan netwerk- en beheerprocessen, kan een aanval snel escaleren naar bredere operationele impact.
Als je wilt vergelijken hoe snelle exploitatie eruit kan zien in andere omgevingen, is ook het bredere overzichtsartikel over ransomware en snelle exploitatie in Q3-trends relevant. Niet identiek, maar wel leerzaam voor het prioriteren van respons.
Welke VCO-versies zijn getroffen?
Alle releases voor deze vaste onderhoudsversies vallen volgens Arista onder het risico:
- Versies vóór 5.2.3.18
- Versies vóór 6.1.3.10
- Versies vóór 6.4.2.12
Arista heeft daarnaast al patches geleverd voor hosted VCO-deployments. Voor on-premises installaties geldt: werk zo snel mogelijk toe naar een versie die de reparatie bevat.
Voorwaarden voor aanvallen: exposure en sessie
Uit de advisory blijkt dat VCO-deployments in de praktijk vaak standaard blootgesteld zijn. Arista geeft aan dat een aanvaller toegang nodig heeft tot de VCO-webinterface en bovendien over een geldige geauthenticeerde sessie moet beschikken.
Er is volgens Arista geen configuratie die de exposure en het risico volledig kan voorkomen. Wel is er een rolcomponent: een aanvaller start met de laagste ingebouwde tenant-rolrechten, maar kan via de kwetsbaarheid toch escaleren naar operatorniveau.
Indicatoren: IP-adressen en gedragskenmerken
Arista geeft ook concrete observaties die je kunt gebruiken tijdens incidentonderzoek. Er zijn aanvallen gezien die afkomstig waren van twee IP-adressen:
- 74.82.197.86
- 38.54.50.151
De aanbeveling is om deze IP’s te blokkeren en daarnaast je logs te controleren op de aanwezigheid ervan. Verder adviseert Arista om te letten op ongebruikelijk gedrag, zoals:
- hoge request-snelheden
- requests met ongebruikelijke URL-achtige padcomponenten
- aanvragen met gecodeerde tekens
- requests met verwijzingen naar lokale of interne services
Wat moet je nu doen als beheerder?
De primaire remedie is duidelijk: update naar een gefixeerde VCO-release. Tot die tijd raadt Arista aan om de blootstelling en mogelijke routes voor misbruik zo klein mogelijk te maken. Hieronder staan praktische stappen die je kunt prioriteren.
1) Patch zo snel mogelijk
Zorg dat je on-premises VCO-installatie wordt bijgewerkt naar een versie die niet langer onder de getroffen releases valt. Arista heeft hosted omgevingen al gepatcht; de rest ligt bij jouw planning.
2) Beperk toegang tot de webinterface
Tot de fixes zijn doorgevoerd adviseert Arista om toegang tot de VCO-interface te beperken. Denk aan netwerksegmentatie, strikte firewallregels en het beperken van wie de beheerpagina kan benaderen.
3) Onderzoek recente admin-activiteit
Bekijk daarnaast recente handelingen van beheerders. Omdat de aanval kan leiden tot operatorrechten, wil je signalen vinden van onverwachte acties of accounts die ineens rechten krijgen die eerder niet klopten.
4) Monitor op webshells en backdoors
Arista raadt aan om te controleren op verdachte toegang en specifiek te letten op mogelijke webshells en achterdeuren (backdoor daemons). Dit is extra belangrijk als je al logs of alerts hebt die wijzen op misbruik.
5) Blokkeer uitgaande verbindingen waar mogelijk
Een aanvullende maatregel is het blokkeren van outbound ports waar dit operationeel mogelijk is. Zo verlaag je de kans dat een aanvaller na initiële toegang gegevens kan exfiltreren of lateraal kan verbinden.
Als je een compromis vermoedt: bewaar logbestanden
Wanneer er aanwijzingen zijn dat er is ingebroken, is het volgens Arista belangrijk om bewijsmateriaal veilig te stellen voordat je systemen opschoont. Bewaar waar mogelijk:
- VCO-webtoegangslogs
- backend applicatielogs
- systeemlogs
- databaselogs
- relevante bestandssysteemtijdstempels
Deze aanpak helpt je niet alleen om te begrijpen wat er is gebeurd, maar ook om gerichter herstel uit te voeren.
Lessen uit eerdere VCO-zero-days
Deze melding staat niet op zichzelf. Arista geeft aan dat dit de derde door het bedrijf gepatchte exploited zero-day in VCO is in een periode van vier maanden—eerder gevolgd door CVE-2026-16812 (juli) en CVE-2026-93952 (september).
Dat betekent dat organisaties met VCO in hun beheerstack verstandig doen om hun proces voor patchmanagement en detectie te herijken: sneller testen, sneller uitrollen en parallel alarte op loganomalieën inrichten. Als je daarnaast bredere context zoekt rondom het beveiligen van beheerde omgevingen en het prioriteren van patches, kan ook Atlassian-patches voor 75 CVE’s als referentie helpen voor hoe je patchtempo en risicoselectie praktisch aanpakt.
Conclusie
De SQL-injectie in VeloCloud Orchestrator (CVE-2026-114625) is een ernstig incident omdat Arista actief misbruik heeft vastgesteld. Het risico gaat verder dan een “gewone” webkwetsbaarheid: een aanvaller kan operatorrechten verkrijgen en zich voordoen als een interne “superuser operator”-gebruiker, met impact op VCO en beheerde data.
Werk daarom met prioriteit aan het patchen naar een gefixeerde VCO-versie, beperk toegang tot de webinterface zolang de update nog niet is afgerond, en controleer logs op de door Arista genoemde indicatoren zoals de verdachte IP-adressen en ongewone aanvraagpatronen.
Bron: https://www.securityweek.com/attackers-exploit-third-velocloud-orchestrator-zero-day-in-four-months/
