Arista a publié des correctifs pour CVE-2026-114625, une injection SQL déjà exploitée par des attaquants dans VeloCloud Orchestrator (VCO), la console qui pilote ses réseaux SD-WAN, a rapporté BleepingComputer le 22 octobre 2026. Seules les installations exploitées sur les serveurs des clients restent à corriger : il faut viser au minimum les versions 5.2.3.18, 6.1.3.10 ou 6.4.2.12, puis rechercher les traces d’une intrusion antérieure à la mise à jour.
Ce que permet la faille
VCO est un portail web grâce auquel les administrateurs configurent, supervisent et gèrent leurs réseaux étendus SD-WAN VeloCloud, rappelle BleepingComputer. La vulnérabilité, jugée critique, est une injection SQL peu complexe à mettre en œuvre et qui ne requiert aucune action d’un utilisateur. D’après l’avis d’Arista cité par le site, une personne authentifiée peut l’utiliser pour obtenir des droits d’opérateur, se faire passer pour le compte local de « superuser operator » et atteindre des fonctions prévues pour un usage strictement interne. L’éditeur avertit aussi qu’elle peut avoir des conséquences sur la machine qui héberge l’orchestrateur.
Le niveau d’accès nécessaire est le point qui doit alerter les équipes réseau. eSecurity Planet, qui attribue à la faille un score CVSS de 9,9, souligne que le rôle Enterprise Read Only, le moins privilégié du portail, peut suffire pour grimper jusqu’au niveau opérateur. Un compte de simple consultation, ouvert pour un partenaire, un prestataire ou un auditeur, devient ainsi une porte d’entrée dès que ses identifiants sont dérobés.
Qui est exposé, et quelles versions installer
Les deux médias convergent : le risque porte sur les entreprises qui font tourner VCO sur leur propre infrastructure. Arista indique avoir déjà corrigé les instances qu’il héberge lui-même, déploiements dédiés compris, selon eSecurity Planet, qui précise que les boîtiers Edge et les passerelles Gateway de VeloCloud échappent à une atteinte directe.
Les versions qui corrigent la faille, branche par branche :
- 5.2.3.18 ou ultérieure ;
- 6.1.3.10 ou ultérieure ;
- 6.4.2.12 ou ultérieure.
Toute version antérieure de ces branches reste vulnérable. Arista n’a pas examiné les versions dont le support a pris fin ; eSecurity Planet conseille à ceux qui les utilisent de s’adresser à l’éditeur.
Une exploitation confirmée, une série qui s’allonge
Arista confirme que la faille est activement exploitée, sans avoir identifié les attaquants, chiffré les organisations visées ni décrit ce qui a suivi l’élévation de privilèges, note eSecurity Planet. Selon le même média, l’agence américaine de cybersécurité CISA l’a inscrite le 23 octobre à son catalogue des vulnérabilités exploitées, le KEV.
L’épisode n’est pas isolé. BleepingComputer recense trois autres failles zero-day exploitées que le constructeur a dû corriger en 2026, en mai, en juillet et en septembre, touchant son système d’exploitation EOS et les installations de VCO sur site. En s’appuyant sur The Hacker News, eSecurity Planet compte trois failles de VCO activement exploitées depuis juillet, celle-ci comprise, et met en garde : une organisation qui a appliqué les correctifs précédents peut rester vulnérable à la nouvelle. La société Aviatrix a évoqué des déplacements latéraux et des vols de données, mais il s’agit d’hypothèses, pas de conséquences constatées de cette campagne.
Les journaux à examiner après la mise à jour
Un correctif bloque les exploitations futures, il ne révèle pas si un attaquant est déjà passé. Les recommandations d’Arista rapportées par BleepingComputer, complétées par celles d’eSecurity Planet, vont donc plus loin :
- réserver l’accès à l’interface web de VCO aux réseaux d’administration et, comme le conseille eSecurity Planet, passer en revue les accès en lecture seule, ceux des partenaires et ceux des administrateurs ;
- bloquer et rechercher dans les journaux les adresses 74.82.197.86 et 38.54.50.151, vues lors d’attaques, en gardant à l’esprit que leur absence n’écarte pas une compromission ;
- passer en revue les journaux d’accès web : chemins inhabituels qui ressemblent à des adresses, caractères encodés, renvois vers des services locaux ou internes, rafales de requêtes ;
- vérifier les modifications récentes faites par des administrateurs et, selon eSecurity Planet, les connexions sortantes.
En cas de soupçon, l’éditeur demande de mettre de côté, avant toute remédiation, les journaux web, applicatifs, système et de base de données ainsi que les horodatages du système de fichiers, puis de solliciter son assistance technique (TAC).
Questions fréquentes
Mon orchestrateur VeloCloud est hébergé par Arista : dois-je agir ?
D’après eSecurity Planet, Arista a déjà corrigé les instances VCO qu’il héberge, dédiées comprises. Revoir la liste des comptes qui accèdent au portail reste utile, en particulier ceux en lecture seule.
Quelles versions de VeloCloud Orchestrator corrigent CVE-2026-114625 ?
Les versions 5.2.3.18, 6.1.3.10 et 6.4.2.12, ou toute version plus récente de la même branche. Arista n’a pas examiné celles dont le support a pris fin.
Installer le correctif suffit-il ?
Non. La mise à jour empêche de nouvelles exploitations mais n’efface pas une intrusion passée : il faut analyser l’activité antérieure, notamment les journaux web et les actions des administrateurs, avant de clore l’incident.
Sources
- Arista patches new VeloCloud Orchestrator zero-day exploited in attacks — BleepingComputer, 2026-10-22
- Des hackers exploitent une faille critique d'Arista VeloCloud Orchestrator — eSecurity Planet, 2026-10-26