Arista, 22 Ekim 2026’da kurum içinde kurulan VeloCloud Orchestrator (VCO) yazılımındaki kritik bir açığı (CVE-2026-114625) duyurdu ve açığın sahada istismar edildiğini bildirdi. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı CISA, açığı ertesi gün, 23 Ekim’de Bilinen İstismar Edilen Açıklar (KEV) kataloğuna “Arista VeloCloud Orchestrator SQL Injection Vulnerability” adıyla ekledi.
Ne oldu
VeloCloud Orchestrator, VeloCloud SD-WAN cihazlarının merkezden yönetildiği yazılım; Arista duyuruda ürünü “eskiden Broadcom’un VeloCloud Orchestrator’ı” olarak tanımlıyor. Arista’nın 0199 numaralı güvenlik duyurusuna göre etkilenen bir sistemde oturum açabilen herhangi bir kullanıcı operatör yetkisi kazanabiliyor ve yerel “superuser operator” kullanıcısı gibi davranabiliyor. Bu, yalnız iç kullanım için tasarlanmış ve uzaktan erişilmemesi gereken işlevlere erişim anlamına geliyor. Başarılı bir saldırı, orkestratörün ve onun yönettiği verinin gizliliğini, bütünlüğünü ve erişilebilirliğini tehlikeye atabiliyor.
Açık SQL enjeksiyonu (CWE-89) olarak sınıflandırıldı. Arista, açığa CVSS 3.1 ölçeğinde 9,9, CVSS 4.0 ölçeğinde 9,4 puan verdi. Duyuruda açığın Arista tarafından tespit edildiği ve aktif olarak istismar edildiğinin bilindiği yazıyor. CISA’nın KEV kaydında ABD federal kurumları için düzeltme son tarihi 26 Ekim olarak belirlendi.
Kimleri etkiler
VeloCloud Orchestrator’ı kendi altyapısında (on-prem) çalıştıran kurumlar ve hizmet sağlayıcılar. Etkilenen sürümler 5.2.3.18 öncesi 5.2.x, 6.1.3.10 öncesi 6.1.x ve 6.4.2.12 öncesi 6.4.x. Duyuruya göre desteği bitmiş sürümler değerlendirilmedi. Üreticinin barındırdığı (Hosted ve Dedicated) VCO ortamları ise etkilenmişti ancak Arista tarafından zaten yamalandı.
Saldırı için geçerli bir kullanıcı hesabı gerekiyor; ancak bu hesabın yetkisi düşük olabilir. Bu nedenle orkestratör arayüzüne erişimi olan her hesap risk taşıyor.
Üretici ne öneriyor
Arista’nın önerisi, sürüm dalına göre 5.2.3.18, 6.1.3.10 ya da 6.4.2.12 ve üstüne yükseltmek. Yükseltme yapılana kadar duyuru, VCO web arayüzüne erişimin yalnız güvenilir yönetim ağlarıyla sınırlandırılmasını, beklenmeyen dışa giden bağlantıların izlenmesini, gereksiz dış portların kapatılmasını ve yönetici hesaplarının hareketlerinin gözden geçirilmesini öneriyor. Duyuru, izlenmesi ve engellenmesi gereken IP adreslerini de listeliyor.
Açık sahada kullanıldığı için yalnız yama yeterli olmayabilir. CISA, KEV kaydında üretici talimatlarının uygulanmasını ve olay sonrası adli inceleme gereksinimlerine uyulmasını istiyor. Güncelleme öncesinde orkestratörün ele geçirilmiş olma olasılığı ayrıca değerlendirilmeli.
Duyurunun tamamı, etkilenen sürümler ve IP listesi yan sütundaki bağlantıda; KEV kaydı CISA kataloğunda.
