Falha CVSS 10 no VeloCloud da Arista vira prazo federal nesta quinta e já é explorada em ataques
CVE-2026-16812 permite comando remoto sem autenticação no orquestrador on-premises do SD-WAN. CISA obrigou agências federais a mitigar até 30 de julho e há evidência de exploração ativa.
A Arista publicou na segunda-feira (27) o Security Advisory 0144, corrigindo uma falha de injeção de comandos no VeloCloud Orchestrator on-premises que recebeu a nota máxima do CVSS: 10.0. O CVE-2026-16812 permite que um atacante sem credenciais, com apenas acesso de rede à interface web do orquestrador, execute comandos arbitrários no sistema operacional do host e, por extensão, reconfigure ou derrube qualquer conexão de filial ou datacenter gerenciada por ele.
A CISA adicionou a falha ao seu catálogo Known Exploited Vulnerabilities no mesmo dia da publicação da Arista, sinalizando que a exploração ativa é anterior ao patch. Pelo Binding Operational Directive 26-04, agências federais civis dos Estados Unidos têm até esta quinta-feira, 30 de julho, para aplicar as versões corrigidas: 5.2.3.14, 6.1.3.4, 6.4.2.4 e 7.0.0.1.
O que a falha permite
O VeloCloud Orchestrator é o painel central de qualquer implantação SD-WAN da tecnologia adquirida pela Arista da Broadcom em 2024, quando a fabricante de chips vendeu o ativo herdado da compra da VMware. Uma organização típica usa o orquestrador para provisionar CPEs em centenas ou milhares de filiais, distribuir políticas de roteamento, e coletar telemetria de todo o backbone. Quem controla o orquestrador controla, na prática, toda a rede WAN da empresa.
A descrição técnica do bug é a que aparece em auditoria de segurança básica: uma funcionalidade privilegiada de uso interno foi exposta na interface web sem verificação de autenticação, e um dos parâmetros aceitos por essa função é passado direto para o shell do sistema. Um atacante que descobre a URL executa comando como root. A Arista credita a descoberta a uma fonte externa, o que na linguagem do setor costuma indicar pesquisadores independentes ou uma equipe de resposta a incidentes que já observou o abuso em campo.
A Arista não havia divulgado publicamente o número de instâncias vulneráveis identificadas até o fechamento desta matéria, e nem detalhou a origem dos ataques.
Por que a janela de patch é impossível
A janela oficial dá três dias para o setor público americano corrigir. Para o setor privado, o cronograma é mais frouxo na letra, mas não na prática. Um orquestrador VeloCloud parado significa perder visibilidade e controle sobre a WAN inteira, e nenhum operador aceita janela de manutenção sem homologação. Bancos e operadoras que dependem de mudança CAB costumam levar de 15 a 45 dias para agendar upgrade em produção.
É nesse intervalo que a exposição fica crítica. Uma varredura Shodan pelas assinaturas HTTP típicas do VCO encontra milhares de instâncias expostas globalmente, muitas delas por engano administrativo, já que o orquestrador foi projetado para ficar em rede privada com acesso VPN.
Onde o impacto se materializa
Nos Estados Unidos, o VeloCloud é presença forte nas redes de varejistas de médio porte e em franquias que padronizam conectividade entre lojas via SD-WAN. A pressão da CISA impõe risco reputacional imediato: uma instância vulnerável identificada em varredura federal pode virar ação de compliance de fornecedor em contratos com GSA.
No Reino Unido e na Alemanha, o VeloCloud tem base instalada relevante em operadoras que oferecem SD-WAN gerenciado como serviço. A BT, a Vodafone Business e a Deutsche Telekom mantêm ofertas gerenciadas sobre a plataforma. Uma falha no orquestrador central do provedor cria risco de comprometimento em cadeia para todos os clientes multi-tenant hospedados naquele controlador, uma superfície de ataque que dificilmente se limita a um único cliente final.
O que fazer nas próximas 48 horas
O passo mínimo do CISO nesta quinta é confirmar se qualquer instância de VCO on-prem da organização, própria ou operada por MSP, foi migrada para as versões corrigidas. Se a resposta for negativa, o bloqueio de acesso externo ao painel web via WAF ou lista de permissão de IPs é o mitigação temporária que a Arista sugere como paliativo até o upgrade. Log de acessos aos endpoints privilegiados deve ser retido pelos próximos 60 dias.
A lição estrutural é a mesma que apareceu na exploração das falhas de Ivanti Connect Secure em 2024 e nas falhas do Fortinet FortiOS que a CISA também catalogou na segunda-feira: a superfície de management de dispositivos de rede empresarial é a linha de frente da próxima onda de comprometimento, e o padrão de expor console de gestão à internet segue vivo, mesmo quando o fornecedor recomenda o contrário há anos.