Arista מתקנת פגיעות אפס יום ב-Orchestrator של VeloCloud

a close up of a network with wires connected to it — Albert Stoynov / Unsplash

Arista Networks שחררה עדכוני אבטחה כדי לתקן פגיעות אפס יום פעילה ב-Orchestrator של VeloCloud (VCO) המיועדת להתקנות מקומיות.

הפגיעות, שסווגה כקריטית, מתועדת כ-CVE-2026-114625 ומאפשרת לתוקף עם הרשאות בסיסיות וגישה לאינטרנט של VCO לבצע התקפות SQL injection בעלות מורכבות נמוכה ללא צורך באינטראקציה של משתמש.

"ב-Orchestrator של VeloCloud (VCO) מקומי קיימת פגיעה באבטחה שמאפשרת לתוקף מרוחק לגשת לפונקציונליות פנימית מוסמכת ולפגוע בחשאיות, בשלמות ובהזמינות של הפלטפורמה והנתונים המועבדים עליה", ציין Arista.

"במערכת מושפעת, כל משתמש מוסמך יכול לקבל הרשאות מפעיל ולהיראות כמשתמש "superuser operator" מקומי. גישה זו כוללת פונקציונליות שמיועדת לשימוש פנימי בלבד ואינה מיועדת לגישה מרחוק", הוסיף החברה.

החברה ציינה כי עדכונים זמינים כבר הושלמו עבור גרסאות VCO 5.2.3.18 ומעלה, 6.1.3.10 ומעלה ו-6.4.2.12 ומעלה.

עד להטמעת העדכונים, Arista ממליצה למנהלים לעקוב אחרי חיבורים מכתובות IP ידועות של מתקפות, להגביל גישה לאינטרנט של VCO למערכות ניהוליות ולבדוק פעילות מנהלים עדכונה לאירועים חריגים.

מנהלים מתבקשים גם לבדוק את לוגי הגישה ל-VCO לאיתור פעילות חשודה, כגון בקשות עם רכיבי נתיב לא רגילים, תווים מקודדים, הפניות לשירותים פנימיים וזרמים גבוהים של בקשות.

החברה הזהירה גם צוותי אבטחה לחסום את הכתובות IP 74.82.197.86 ו-38.54.50.151, שנצפו במהלך מתקפות מתמשכות.

"אם מתקפה חשודה, על המפעילים לשמור את לוגי הגישה ל-VCO, לוגי האפליקציה backend, לוגי המערכת, לוגי מסד הנתונים והזמנים של שינוי קבצים לפני תיקון, כאשר זה אפשרי מבחינה הפעלה", ציין החברה, והמליצה לפנות למרכז התמיכה הטכנית של Arista Networks (TAC) לסיוע נוסף.

במהלך השנה, Arista תיקן שלוש פגיעויות אפס יום פעילות אחרות (CVE-2026-7473 במאי, CVE-2026-16812 ביולי ו-CVE-2026-93952 בספטמבר) שפגעו במערכת ההפעלה ה-extensible (EOS) וההתקנות המקומיות של VeloCloud Orchestrator.

Arista Networks היא חברה מדרגה Fortune 500 ואחת מהחברות הגדולות ביותר בארה"ב לפי הכנסות, עם יותר מ-10,000 לקוחות ברחבי העולם.

לאחר קבלת הרשאות תקפות, רק 37% מהפעולות של התוקפים נחסמות

ציון מניעת האיום הכולל יכול להסתיר את מה שקורה לאחר גישה ראשונית. לאחר שימוש בהרשאות תקפות, ציון המניעה יורד משמעותית.

דוח ה-Blue Report 2026 מודד טכניקות הגנה על ידי מדידת 338 מיליון סימולציות שבוצעו בסביבות ייצור של לקוחות