Arista heeft een kritieke kwetsbaarheid in VeloCloud Orchestrator (VCO) on‑premises verholpen. Door het lek konden externe aanvallers geprivilegieerde interne functionaliteit aanroepen, met impact op de vertrouwelijkheid, integriteit en beschikbaarheid van de orchestrator én de data die hij beheert. De cloud‑gehoste (inclusief Dedicated) VCO‑omgevingen zijn al gepatcht; on‑prem‑installaties vragen directe actie. (arista.com)

VeloCloud Orchestrator is het centrale brein achter SD‑WAN‑omgevingen: vanaf dit platform worden Edge‑apparaten uitgerold, geconfigureerd en gemonitord. Een kwetsbaarheid op dit punt raakt dus niet alleen het beheersysteem, maar kan doorwerken naar de onderliggende Edge‑infrastructuur. (theregister.com)

Twee incidenten in korte tijd

• Op 27 juli 2026 meldde Arista CVE‑2026‑16812, een OS command‑injection met maximale ernst (CVSS 10.0). Aanvallers hadden alleen netwerktoegang tot de VCO‑webinterface nodig; VCO‑tenant- of operator‑accounts waren niet vereist. Standaard staat die interface bloot, waardoor internettoegang vaak mogelijk is. Vastgestelde fixes zijn o.a. 5.2.3.14, 6.1.3.4 en 6.4.2.4; update zo snel mogelijk naar een gerepareerde release. Deze CVE is intussen actief misbruikt en door CISA toegevoegd aan de Known Exploited Vulnerabilities‑lijst. (arista.com) (arista.com) (arista.com) (content.govdelivery.com)
• Op 22 september 2026 volgde CVE‑2026‑93952 (CWE‑20, Improper Input Validation). Ook hier volstaat netwerktoegang tot de webinterface en zijn geen beheerdersgegevens nodig. In setups met certificaatgebaseerde Edge‑authenticatie kan misbruik eenvoudiger zijn. Arista bracht gefaseerd fixes uit (o.a. 5.2.3.16 en 6.4.2.8); hosted omgevingen zijn al bijgewerkt. Ook deze CVE staat op CISA’s KEV‑lijst wegens actief misbruik. (arista.com) (arista.com) (arista.com) (cyber.gc.ca)

Wat betekent dit in de praktijk?

• Risico’s: volledige compromittering van de VCO‑host, ongeautoriseerde configuratiewijzigingen, toegang tot gevoelige configuratiegegevens, certificaten en sleutelmateriaal, en mogelijk doordringen richting beheerde Edge‑apparaten. (arista.com)
• Aandachtspunt toegang: beide kwetsbaarheden zijn pre‑auth; het openzetten van de VCO‑webinterface richting internet vergroot de kans op misbruik aanzienlijk. (arista.com)

Aanpak: meteen doen

• Patch nu. Werk bij naar de door Arista aangeduide vaste versies (minimaal 5.2.3.14/6.1.3.4/6.4.2.4 voor CVE‑2026‑16812 en 5.2.3.16/6.4.2.8 of hoger voor CVE‑2026‑93952; nieuwe fixes volgen per releasetrein). (arista.com)
• Beperk toegang tot de VCO‑webinterface tot vertrouwde administratieve netwerken (allowlist/VPN), en voorkom directe internet‑exposure. (arista.com)
• Controleer op sporen van misbruik. Arista deelt concrete aanwijzingen om op te letten: afwijkende requests in web‑ en applicatielogs, onverwachte uitgaande verbindingen vanaf de VCO‑host, onverklaarde configuratiewijzigingen en bekende malafide IP‑adressen/artefacten. Onderneem forensische stappen en bewaar logs voordat je herstelt. (arista.com)
• Herstelmaatregelen na patchen: roteer gevoelige inloggegevens en certificaten, verifieer de staat van beheerde Edge‑devices en overweeg herstel vanuit een vertrouwde bron als er twijfel is. (arista.com)

Waarom de urgentie?
Beide kwetsbaarheden worden actief uitgebuit. CISA heeft CVE‑2026‑16812 op 27 juli 2026 en CVE‑2026‑93952 op 22 september 2026 aan de KEV‑catalogus toegevoegd, wat aangeeft dat aanvallers er daadwerkelijk jacht op maken. Organisaties die VCO on‑prem draaien, moeten ervan uitgaan dat detectie achterloopt op misbruik en daarom direct patchen én hun omgeving doorlichten. (content.govdelivery.com)

Context voor beheerders
VCO vormt de management‑ en control‑plane van SD‑WAN. Een incident hier werkt door richting alle aangesloten locaties. Zorg daarom voor minimale blootstelling (zero‑trust‑toegang tot beheer), tijdige updates en structurele monitoring. Deze basismaatregelen, gecombineerd met de door Arista uitgebrachte fixes en hun incidentrespons‑adviezen, beperken de impact en verkorten de hersteltijd aanzienlijk. (arista.com)

Bronnen: officiële veiligheidsadviezen en onafhankelijke berichtgeving bieden verdere technische details, impact en patchstatus. (arista.com)

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.