VeloCloud Orchestrator (VCO) est la console de gestion centrale des réseaux SD-WAN d'Arista : elle pilote depuis un seul point les politiques de routage, la segmentation et la supervision de l'ensemble des passerelles d'une organisation. Arista Networks a publié le 22 octobre 2026 un correctif d'urgence pour une faille critique de cet orchestrateur. Référencée CVE-2026-114625 et notée 9,9 sur l'échelle CVSS, cette injection SQL est déjà exploitée activement selon l'avis de l'éditeur, relayé par BleepingComputer et The Hacker News.
Une compromission de cette console unique donne donc potentiellement à l'attaquant une vue d'ensemble, voire un levier de contrôle, sur toute l'infrastructure réseau qu'elle gère, ce qui explique le score CVSS maximal et la publication d'un correctif hors cycle.
Que sait-on de la faille CVE-2026-114625 ?
La vulnérabilité touche l'interface web de VeloCloud Orchestrator en déploiement sur site (on-premises). Selon l'avis d'Arista, elle permet à un utilisateur déjà authentifié, même avec un rôle minimal de type « Enterprise Read Only », de mener une attaque par injection SQL à faible complexité, ne nécessitant aucune interaction de la victime.
L'exploitation réussie donne à l'attaquant des privilèges d'opérateur et lui permet d'usurper un compte local de type « superuser opérateur », exposant des fonctionnalités normalement réservées à l'administration interne. Arista précise que l'interface web de VCO est exposée par défaut, sans paramètre permettant de désactiver ce comportement. Une fois les privilèges élevés obtenus, l'attaquant peut affecter la confidentialité, l'intégrité et la disponibilité de l'orchestrateur et de ses données, et potentiellement impacter l'hôte sous-jacent lui-même.
Versions concernées et correctifs de VeloCloud Orchestrator
Les correctifs s'appliquent aux déploiements VCO sur site. Les orchestrateurs hébergés (Hosted) et dédiés (Dedicated), gérés directement par Arista, sont déjà corrigés côté éditeur et ne nécessitent aucune action côté client.
| Branche VCO | Versions vulnérables | Version corrigée |
|---|---|---|
| 5.2 | < 5.2.3.18 | 5.2.3.18 |
| 6.1 | < 6.1.3.10 | 6.1.3.10 |
| 6.4 | < 6.4.2.12 | 6.4.2.12 |
La branche 7.0 n'est pas concernée par cette faille, selon Arista. Les équipements VeloCloud Gateway et VeloCloud Edge ne sont pas affectés directement, même si leur gestion dépend de l'orchestrateur. Les clients utilisant des versions dont le support a expiré doivent contacter le support technique d'Arista (TAC) pour évaluer leur exposition et connaître les options de mise à niveau disponibles.
Une exploitation déjà active dans la nature
C'est la troisième faille de VeloCloud Orchestrator qu'Arista signale comme activement exploitée depuis l'été 2026, après CVE-2026-16812 en juillet et CVE-2026-93952 en septembre, mais la première qui nécessite une authentification préalable de l'attaquant plutôt qu'un accès totalement anonyme. L'éditeur indique avoir observé des tentatives d'exploitation depuis deux adresses IP : 74.82.197[.]86 et 38.54.50[.]151.
Pour la détection, Arista recommande de passer en revue les journaux d'accès web de VCO à la recherche de composants d'URL inhabituels, de caractères encodés, de références à des services internes ou locaux, et de pics anormaux de requêtes. Toute activité administrative récente et inattendue, comme la création de comptes ou la modification de politiques réseau, doit également être examinée de près.
Comment se protéger ?
En attendant l'application du correctif, ou en complément de celui-ci, Arista et les chercheurs recommandent plusieurs mesures :
- Mettre à jour VeloCloud Orchestrator vers une version corrigée (5.2.3.18, 6.1.3.10 ou 6.4.2.12 selon votre branche) dès que possible.
- Restreindre l'accès à l'interface web de VCO aux seuls réseaux d'administration de confiance, en attendant la mise à jour.
- Bloquer les deux adresses IP identifiées et surveiller toute connexion provenant de celles-ci ou tout trafic sortant inattendu depuis l'hôte VCO.
- Rechercher d'éventuels webshells ou démons de porte dérobée déposés sur le système, ainsi que des ports sortants ouverts sans justification.
- Revoir les comptes et rôles existants sur l'orchestrateur, en particulier ceux créés ou modifiés récemment, pour détecter une éventuelle élévation de privilèges.
- En cas de compromission suspectée, conserver les journaux d'accès web, applicatifs, système et de base de données, ainsi que les horodatages du système de fichiers, avant toute remédiation.
Pour évaluer la gravité de cette CVE dans votre contexte, notre calculateur CVSS permet de contextualiser le score selon votre environnement, et notre base de données de CVE recense les vulnérabilités avec leur statut d'exploitation. Si le détail du calcul CVSS vous échappe, notre article sur comment lire un score CVSS l'explique pas à pas. D'autres failles critiques corrigées récemment et déjà exploitées, comme celle touchant Cisco Secure Email Gateway, suivent le même principe : patcher sans attendre, puis vérifier ses journaux pour écarter toute compromission antérieure.
Points clés
- VeloCloud Orchestrator est la console centrale des réseaux SD-WAN d'Arista ; Arista corrige en urgence CVE-2026-114625, une injection SQL critique (CVSS 9,9) déjà exploitée activement.
- La faille touche les déploiements sur site des branches 5.2, 6.1 et 6.4 ; les versions corrigées sont 5.2.3.18, 6.1.3.10 et 6.4.2.12.
- C'est la troisième faille de VCO exploitée activement depuis l'été 2026, et la première nécessitant une authentification préalable de l'attaquant.
- Deux adresses IP sont identifiées comme sources d'attaque : 74.82.197[.]86 et 38.54.50[.]151.
- En l'absence de mise à jour immédiate, restreignez l'accès à l'interface web aux réseaux d'administration, surveillez vos journaux d'accès et vérifiez les comptes existants.