Arista corrige VeloCloud Orchestrator, une faille zero-day déjà exploitée

Arista Networks a publié le 22 octobre 2026 des correctifs pour la CVE-2026-114625, une faille zero-day de type injection SQL dans VeloCloud Orchestrator (VCO), la console de gestion de ses réseaux SD-WAN, que des attaquants exploitent déjà.

Que permet la faille CVE-2026-114625 ?

VeloCloud Orchestrator est le portail qui administre les équipements de bordure d'un réseau SD-WAN, c'est-à-dire le réseau étendu piloté par logiciel qui relie des sites distants. D'après BleepingComputer, la faille se déclenche avec une faible complexité, sans interaction d'un utilisateur : un compte authentifié de bas niveau peut obtenir des privilèges d'opérateur et se faire passer pour un « superuser operator » local. Arista évoque une atteinte à la confidentialité, à l'intégrité et à la disponibilité de l'orchestrateur et des données qu'il gère. L'éditeur parle de sévérité critique ; l'article source ne donne pas de score CVSS.

Quelles versions corriger ?

Les versions corrigées citées sont 5.2.3.18, 6.1.3.10 et 6.4.2.12, ainsi que les suivantes. Les versions vulnérables ne sont pas précisées dans l'article source. Autre point à clarifier : il présente ces correctifs pour des déploiements hébergés, alors que la faille est décrite comme touchant les installations sur site. Les administrateurs doivent donc se reporter à l'avis officiel d'Arista avant d'agir.

Comment savoir si l'on a été visé ?

Arista a observé l'exploitation depuis deux adresses IP, 74[.]82.197.86 et 38[.]54.50.151, à bloquer. L'éditeur recommande de limiter l'accès à l'interface web de VCO aux réseaux d'administration, de passer en revue l'activité récente des administrateurs, et d'examiner les journaux d'accès web à la recherche de chemins d'URL inhabituels, de caractères encodés, de références à des services internes ou de volumes de requêtes anormaux. En cas de doute, il faut conserver les journaux web, applicatifs, système et base de données, ainsi que les horodatages du système de fichiers, avant toute remédiation, puis contacter le support technique d'Arista.

Un produit déjà pris pour cible en 2026

C'est le quatrième zero-day exploité qu'Arista corrige cette année, selon BleepingComputer : la CVE-2026-7473 (mai, EOS), la CVE-2026-16812 (juillet, VCO sur site) et la CVE-2026-93952 (septembre, EOS et VCO sur site). Les consoles d'administration réseau forment une cible récurrente : voir aussi la faille de contournement d'authentification de Cisco SD-WAN Manager. Reste à savoir combien de clients ont été touchés : Arista n'a pas communiqué de chiffre.

Source

• BleepingComputer — Arista patches new VeloCloud Orchestrator zero-day exploited in attacks (22 octobre 2026)