Arista hat CVE-2026-114625 behoben, eine SQL-Injection im lokal betriebenen VeloCloud Orchestrator, über die ein Benutzer mit der niedrigsten Rolle Operator-Rechte auf der SD-WAN-Verwaltungsplattform erlangt. Laut Hersteller wird die Lücke aktiv ausgenutzt; CISA setzte US-Behörden eine Frist bis zum 26. Oktober.
Was geschah
Am 22. Oktober 2026 veröffentlichte Arista den Sicherheitshinweis 0199 zu CVE-2026-114625, einer SQL-Injection im VeloCloud Orchestrator (VCO), der Konsole zur Verwaltung der VeloCloud-SD-WAN-Geräte. Der Hersteller bewertet sie mit 9,9 nach CVSS 3.1 (9,4 nach CVSS 4.0), hat das Problem nach eigenen Angaben selbst entdeckt und bestätigt, dass es aktiv ausgenutzt wird. CISA nahm die Lücke am 23. Oktober in ihren Katalog ausgenutzter Schwachstellen auf, mit Frist bis zum 26. Oktober für US-Bundesbehörden und einer Pflicht zur forensischen Prüfung.
Wer betroffen ist und wie Angreifer eindringen
Verwundbar sind nur lokal betriebene Orchestratoren: VCO 5.2.x vor 5.2.3.18, 6.1.x vor 6.1.3.10 und 6.4.x vor 6.4.2.12. Gehostete und dedizierte Instanzen hat Arista bereits gepatcht; EOS-Switches, CloudVision und die Edge-Geräte selbst sind nicht betroffen. Jeder angemeldete Benutzer, selbst mit der Rolle Enterprise Read Only, kann Operator-Rechte erlangen, sich als interner Superuser ausgeben und Funktionen erreichen, die nie aus der Ferne zugänglich sein sollten, mit möglichen Folgen für den VCO-Server und die von ihm verwalteten Daten. Da der Orchestrator die Konfiguration an alle Standorte verteilt, trifft seine Kompromittierung das gesamte Netz.
Was jetzt zu tun ist
- Version prüfen: für jeden lokalen Orchestrator in der Weboberfläche nachsehen und mit der obigen Liste vergleichen.
- Aktualisieren auf 5.2.3.18, 6.1.3.10 oder 6.4.2.12 bzw. neuer, je nach Zweig.
- Zugriff einschränken: die VCO-Weboberfläche bis zum Update nur aus vertrauenswürdigen Verwaltungsnetzen erreichbar machen.
- Web-Zugriffsprotokolle durchsuchen nach den beiden von Arista genannten Adressen
74.82.197[.]86und38.54.50[.]151sowie nach ungewöhnlichen Pfaden, kodierten Zeichen, Verweisen auf lokale Dienste oder Anfrage-Spitzen. - Nach Persistenz suchen: Webshells, Hintertüren, unerwartete ausgehende Verbindungen des Orchestrators und jüngste Admin-Aktionen; Konten überprüfen und nicht mehr benötigte Lesezugänge löschen.
Unsere Einschätzung
Ein Lesekonto wird oft großzügig an Dienstleister oder Prüfer vergeben, weil es als harmlos gilt; diese Lücke zeigt, dass auf einer Verwaltungskonsole jedes Konto ein möglicher Einstieg ist. Netzwerk-Orchestratoren verdienen dieselbe Sorgfalt wie Firewalls: isoliertes Verwaltungsnetz, Mehrfaktor-Authentifizierung, regelmäßige Kontenprüfung und zügiges Patchen.
Quellen
- Arista — Security Advisory 0199: VeloCloud Orchestrator
- CISA — Known Exploited Vulnerabilities Catalog: CVE-2026-114625
- NIST NVD — CVE-2026-114625 Detail
Wie wir unsere Analysen auswählen, prüfen und schreiben →
Ist Ihr eigener Server angreifbar? Machen Sie einen kostenlosen Test — nur öffentliche Informationen, ohne Eindringen:
Sorgen, dass Ihre Server angreifbar sind? Unser Team prüft, patcht und überwacht Linux- und Cloud-Infrastrukturen rund um die Uhr.
Mit einem Experten sprechen Unsere Managed Server Services →
