Injeção de SQL em Arista VeloCloud Orchestrator

Resumo

Foi divulgada uma vulnerabilidade em Arista VeloCloud Orchestrator do tipo injeção de sql. A gravidade é crítica, com nota CVSS 9,4.

Há evidência de exploração ativa: a agência americana CISA incluiu a falha no catálogo KEV em 23 out 2026.

Versões afetadas

• VeloCloud Orchestrator: 5.2.0 até antes de 5.2.3.18
• VeloCloud Orchestrator: 6.1.0 até antes de 6.1.3.10
• VeloCloud Orchestrator: 6.4.0 até antes de 6.4.2.12

Segundo o registro oficial do CVE. Confira a versão exata com o fabricante.

O que fazer

1. Verifique se a sua empresa usa Arista VeloCloud Orchestrator e em qual versão.
2. Aplique a atualização de segurança do fabricante (veja as referências abaixo).
3. Se não der para atualizar agora, reduza a exposição, por exemplo restringindo o acesso pela internet. Isso não substitui a correção.
4. Como a falha já está sendo explorada, procure sinais de comprometimento nos sistemas que ficaram expostos.

Linha do tempo das fontes

1. 23 out 2026 CISA KEVoficial Incluída no catálogo KEV: exploração ativa confirmada

Descrição oficial CVE.org, em inglês

VeloCloud Orchestrator (VCO) on-prem has a security issue where this issue may allow a remote attacker to access privileged internal functionality and impact the VCO host. Successful exploitation may compromise the confidentiality, integrity, and availability of the orchestrator and data managed by the orchestrator. On an affected system, any authenticated user can gain operator privileges and masquerade as a local "superuser operator" user. This includes access to functionality that is intended for internal use only and which is not intended to be remotely accessible. Hosted, including Dedicated, versions of VCO were impacted and have already been patched.

Referências

• CVE-2026-114625 no CVE.org
• https://www.arista.com/en/support/advisories-notices/security-advisory/24838-security-advisory-0199