Arista corrige une faille déjà exploitée qui fait d'un simple observateur un administrateur réseau

Le rôle le plus modeste de la console, celui qui permet seulement de regarder, aurait suffi. Le 22 octobre, Arista a publié un avis sur une faille de son orchestrateur VeloCloud : n'importe quel utilisateur connecté, même avec un simple accès en lecture seule, peut obtenir des droits d'opérateur et se faire passer pour le « super-opérateur » local. L'éditeur indique que la faille, CVE-2026-114625, est activement exploitée.

VeloCloud Orchestrator (VCO) est le portail web qui pilote les réseaux SD-WAN d'une entreprise, c'est-à-dire les liaisons qui relient ses sites et agences entre eux et à Internet. Celui qui en prend le contrôle tient une position centrale dans le réseau. Arista évalue la gravité à 9,9 sur 10 (CVSS 3.1).

Qui est concerné ?

Seules les installations sur site (« On-Prem ») sont à corriger. Les versions hébergées par Arista, y compris dédiées, étaient touchées mais ont déjà été corrigées : leurs clients n'ont rien à faire.

Pour les autres, les conditions d'attaque sont minces : un accès réseau à l'interface web et une session valide avec le rôle « Enterprise Read Only », le plus bas des rôles prévus. L'avis classe la faille comme une injection SQL, sans détailler le lien avec l'élévation de privilèges décrite. Il précise aussi qu'aucun réglage ne permet d'écarter le risque. Arista dit avoir détecté le problème elle-même. Elle ne dit ni depuis quand les attaques durent, ni qui les mène.

Une quatrième faille exploitée cette année

Ce n'est pas une première. Selon BleepingComputer, Arista a déjà corrigé en 2026 trois autres failles exploitées avant tout correctif, dont deux dans ce même orchestrateur. En juillet, la faille CVE-2026-16812, notée 10 sur 10, permettait d'injecter des commandes sans même être connecté. La CISA, l'agence américaine de cybersécurité, l'avait ajoutée le 27 juillet à son catalogue des failles exploitées. VeloCloud, ancien produit de VMware, est passé chez Arista après son rachat à Broadcom.

Que faire ?

Une console d'administration du réseau joignable avec un compte de consultation : c'est souvent le genre d'accès qu'on distribue largement, à des prestataires ou à des équipes de supervision.

• Mettre à jour vers VCO 5.2.3.18, 6.1.3.10 ou 6.4.2.12, ou une version ultérieure. Pour les branches plus maintenues, Arista renvoie vers son support technique.
• Restreindre l'accès à l'interface web aux seuls réseaux d'administration de confiance.
• Bloquer et rechercher les deux adresses vues dans les attaques : 74.82.197.86 et 38.54.50.151.
• Examiner les journaux web : chemins d'URL inhabituels, caractères encodés, références à des services locaux ou internes, rafales de requêtes. Surveiller aussi les connexions sortantes inattendues, les webshells et les changements récents faits par des administrateurs.
• En cas de doute, conserver les journaux (web, application, système, base de données) et les horodatages des fichiers avant toute remise en état.

Reste à savoir qui vise cette console avec une telle régularité : c'est la troisième faille exploitée dans VCO depuis juillet, et l'éditeur n'a encore désigné aucun attaquant.