Arista confirma ataques a falha 9,9 do VeloCloud Orchestrator

A Arista Networks publicou em 22 de outubro um aviso de segurança informando que a CVE-2026-114625, uma falha de injeção de SQL no portal web do VeloCloud Orchestrator, já está sendo explorada por atacantes. A vulnerabilidade recebeu nota 9,9 de 10 no CVSS 3.1, segundo o aviso da empresa reproduzido por The Hacker News e BleepingComputer. É a terceira falha explorada no orquestrador de SD-WAN da Arista em cerca de três meses.

O vetor exige login, e é aí que mora o problema. Basta uma conta com o perfil mais baixo do produto, Enterprise Read Only, para que o atacante eleve os próprios privilégios ao nível de operador e alcance funções que deveriam ser apenas internas. Em outras palavras, uma credencial de consulta, do tipo que se distribui a auditores, analistas de NOC e clientes de provedores gerenciados, vira acesso administrativo.

O que precisa ser atualizado

A Arista informa que as instâncias Hosted e Dedicated, operadas por ela, já foram corrigidas. Clientes com orquestrador on-premises precisam instalar as versões 5.2.3.18, 6.1.3.10 ou 6.4.2.12. Um ponto pouco óbvio: ambientes que aplicaram as correções de julho e setembro continuam vulneráveis, porque essas builds estão abaixo das novas versões, segundo análises publicadas após o aviso.

A empresa não divulgou quantos clientes foram atingidos nem quem está por trás da exploração. Até a publicação do aviso, a falha não constava do catálogo de vulnerabilidades exploradas (KEV) da CISA, a agência americana de cibersegurança.

Um padrão, não um acidente

Em julho, a CVE-2026-16812, injeção de comandos sem autenticação com nota 10,0, foi incluída no catálogo KEV da CISA em 27 de julho, depois de evidências de exploração ativa. Em setembro veio a CVE-2026-93952, também com nota 10,0, que afeta orquestradores configurados com autenticação por certificado entre os equipamentos de borda e o VCO. Três falhas exploradas em sequência no mesmo componente sugerem que algum grupo estuda o produto de forma sistemática, embora nem a Arista nem a CISA tenham atribuído os ataques a um ator específico ou dito se as três campanhas têm a mesma origem.

O VeloCloud é a linha de SD-WAN que a Arista comprou da Broadcom em 2025, herdada do portfólio da VMware. Para a Arista, cujo negócio central são switches de datacenter, o histórico recente pesa na conversa com clientes corporativos que avaliam consolidar rede de campus e WAN no mesmo fornecedor.

Quem está mais exposto

O orquestrador é o ponto que configura e monitora todos os equipamentos de borda de uma rede SD-WAN. Comprometer o VCO significa, potencialmente, ter acesso à política de roteamento de centenas de filiais de uma vez. Em operadoras e provedores de serviços gerenciados que rodam um único orquestrador on-premises para vários clientes, o risco se multiplica: a conta somente leitura que o provedor entrega a cada cliente para acompanhar o próprio contrato é exatamente o perfil que a falha exige.

Nos Estados Unidos, se a CISA incluir a CVE-2026-114625 no catálogo KEV, como fez com as duas anteriores, órgãos federais civis ficam obrigados a corrigir dentro do prazo fixado pela diretiva BOD 22-01, e o mercado privado costuma usar a lista como régua de prioridade.

Na União Europeia, entidades cobertas pela diretiva NIS2, que inclui provedores de serviços gerenciados e operadoras, têm 24 horas para enviar um alerta inicial à autoridade nacional depois de tomar conhecimento de um incidente significativo. Um orquestrador comprometido que atende vários clientes dificilmente fica abaixo desse limiar.

No Brasil, a Resolução CD/ANPD nº 15, de 2024, dá ao controlador três dias úteis para comunicar à autoridade e aos titulares um incidente com risco ou dano relevante. Em redes de varejo e bancos com centenas de agências conectadas via SD-WAN, um acesso ao orquestrador tende a envolver dados de tráfego e de configuração antes de envolver dados pessoais, o que torna a avaliação de "risco relevante" mais difícil, e não menos urgente.

Para o CISO, a questão prática vai além do patch. Três falhas exploradas em um trimestre num plano de gestão exposto à internet pedem que a interface do orquestrador saia da rede pública e fique atrás de VPN ou de uma lista restrita de endereços, e que contas somente leitura voltem a ser tratadas como credenciais sensíveis. A correção fecha a CVE-2026-114625. A arquitetura decide se haverá uma quarta.