Arista schließt ausgenutzte VeloCloud Zero-Day-Lücke, während SD-WAN-Risiken steigen
- Arista hat eine SQL-Injection-Schwachstelle in der VeloCloud Orchestrator-Bewertung 9,9 gepatcht, die bereits von Angreifern ausgenutzt wurde.
- Die Schwachstelle kann es einem schreibgeschützten, authentifizierten Benutzer ermöglichen, Operator-Privilegien zu erlangen und einen Superuser zu imitieren.
- Es ist die dritte seit Juli bekannt gewordene aktiv ausgenutzte VeloCloud Orchestrator-Schwachstelle.
Am 22. Oktober 2026 behob Arista Networks eine Zero-Day-Schwachstelle in der VeloCloud Orchestrator, die von Angreifern bereits ausgenutzt worden war. Die Schwachstelle stellt ein Risiko für Unternehmen dar, da sie das System betrifft, das zur Verwaltung von Netzwerkverbindungen über mehrere Standorte hinweg verwendet wird.
Wie ein schreibgeschütztes Konto zum Superuser wird
Advisory 0199 von Arista identifiziert die Schwachstelle als CVE-2026-114625, eine SQL-Injection-Schwachstelle mit der Bewertung 9.9 nach CVSS v3.1. Die Gefahr besteht darin, wie viel Kontrolle ein Angreifer erlangen kann, selbst bei der niedrigsten Zugriffsebene.
Um die Schwachstelle auszunutzen, benötigt ein Angreifer Zugriff auf die Weboberfläche sowie gültige Anmeldedaten. Nach der Anmeldung kann der Angreifer die SQL-Injection-Schwachstelle nutzen, um ein Enterprise Read-Only-Konto – die Rolle mit den geringsten Berechtigungen auf der Plattform – in Operator-Berechtigungen zu verwandeln und sich als Superuser auszugeben. Die Schwachstelle ermöglicht es daher jemandem mit Nur-Lese-Zugriff, die Kontrolle über die Plattform zu erlangen. Arista hat bestätigt, dass Angreifer die Schwachstelle bereits ausgenutzt haben.
Die Patches und die forensische Checkliste
On-Premises-Betreiber sollten ihre Softwareversionen überprüfen. Die betroffenen Versionen 5.2.x, 6.1.x und 6.4.x benötigen die korrigierten Builds 5.2.3.18, 6.1.3.10 bzw. 6.4.2.12 oder spätere Releases innerhalb dieser Versionsserien. Hosted- und Dedicated-Deployments sind bereits gepatcht.
Laut Arista stammten beide Angriffe von den folgenden Quell-IPs: 74.82.197.86 und 38.54.50.151. Das Unternehmen rät Systemadministratoren, verdächtige Webanfragen, unerwartete ausgehende Verbindungen und ungewöhnliche Administratoraktivitäten zu untersuchen. Es wird zudem empfohlen, den Management-Zugriff auf vertrauenswürdige Netzwerke zu beschränken und relevante Logs im Falle eines vermuteten Sicherheitsvorfalls zu sichern.
Der dritte VeloCloud-Fehler seit Sommer
Die SQL-Injection-Schwachstelle ist der dritte aktiv ausgenutzte Fehler, der im VeloCloud Orchestrator innerhalb von drei Monaten gemeldet wurde.
Das von Arista am 27. Juli 2026 erstmals veröffentlichte Advisory 0144 behandelte eine OS-Befehlsinjektionsschwachstelle. Ein weiterer Fehler wurde am 22. September über Advisory 0183 offengelegt. Beide betrafen unterschiedliche Angriffsmethoden im Vergleich zur neuesten Schwachstelle.
Obwohl es Unterschiede zwischen den drei Sicherheitslücken gibt, betrafen sie dennoch dieselbe zentrale Managementplattform. Da VeloCloud Orchestrator Verbindungen über mehrere Standorte hinweg verwaltet, könnte ein Einbruch in die Plattform mehrere Netzwerke kompromittieren.
Patches werden nach den Exploits bereitgestellt
Verizons 2026 Data Breach Investigations Report hat ergeben, dass die Ausnutzung von Schwachstellen 31 % der Datenpannen ausmachte. Sie hat gestohlene Zugangsdaten als führende Methode von Angreifern verdrängt, um Zugriff auf Netzwerke zu erlangen. Die Ergebnisse unterstreichen die Notwendigkeit für Unternehmen, Schwachstellen zu beheben, bevor Angreifer sie ausnutzen.
Allerdings sind Unternehmen meist nicht in der Lage, Schwachstellen zu beheben, bevor Angreifer sie ausnutzen. Laut dem Google M-Trends 2026 Report nutzen Angreifer System-Schwachstellen durchschnittlich sieben Tage lang aus, bevor eine Korrektur verfügbar ist. Der Bericht erwähnte zudem bestimmte Bedrohungen gegen Netzwerkgeräte wie VPNs und Router, die über keine standardmäßige Endpunktüberwachung verfügen.
Künstliche Intelligenz könnte die Situation noch gefährlicher machen. In einer separaten Untersuchung dokumentierten Google-Forscher, wie Angreifer KI einsetzten, um in weniger als sechs Stunden eine groß angelegte Kampagne zur Erfassung von Zugangsdaten zu planen und durchzuführen. Bei dieser Operation wurden Tausende von Drittanbieter-Zugangsdaten kompromittiert.
Zwar gibt es keine bestätigten Hinweise darauf, dass KI eine Rolle bei den VeloCloud-Angriffen spielte, doch zeigen Googles Erkenntnisse, wie KI-gestützte Operationen Angreifern helfen können, schneller voranzukommen und potenziell größeren Schaden anzurichten, bevor Sicherheitsteams reagieren können.
Warum aufeinanderfolgende Updates für einen wachsenden Markt wichtig sind
Cyberangriffe können schwerwiegende finanzielle Folgen haben. Die IBM-Studie von 2026 schätzte die durchschnittlichen globalen Kosten eines Datenlecks auf 4,99 Millionen US-Dollar. Die Sorgen vor neuen Bedrohungen nehmen ebenfalls zu. Das Weltwirtschaftsforum stellte fest, dass 87 % der Befragten KI-bezogene Schwachstellen als das am schnellsten wachsende Cyber-Risiko im Jahr 2025 betrachteten.
Die potenziellen Auswirkungen könnten weiter zunehmen, da immer mehr Unternehmen SD-WANs (Software-Defined Wide-Area Networks) einführen, die mehrere Standorte verbinden und es Unternehmen ermöglichen, den Netzwerkverkehr zentral zu steuern. Dell’Oro Group prognostiziert ein jährliches SD-WAN-Umsatzwachstum von 14 % bis 2030. Während diese Netzwerke expandieren, kann ein kompromittierter zentraler Controller die Geschäftsvorgänge an mehreren Standorten stören und möglicherweise Unternehmen in verschiedenen Ländern betreffen.
Finanzmärkte sehen sich mit ähnlichen Bedenken hinsichtlich operativer Störungen konfrontiert. Cryptopolitan hatte zuvor über versuchte Cyberangriffe auf große Hedgefonds berichtet, was Fragen nach möglichen Übertragungen auf die Kryptomärkte aufwirft. Obwohl diese Vorfälle unabhängig von den VeloCloud-Angriffen waren, unterstreichen sie die Bedeutung des Schutzes kritischer Systeme. Für Unternehmen, die VeloCloud nutzen, bedeutet dies das Anwenden von Patches, das Prüfen auf frühe Anzeichen einer Kompromittierung und die Sicherung der Systeme, die ihre Niederlassungen verbinden.
Lesen Sie nicht nur Krypto-Nachrichten. Verstehen Sie sie. Abonnieren Sie unseren Newsletter. Es ist kostenlos.
Häufig gestellte Fragen
Was ist CVE-2026-114625 und wie schwerwiegend ist es?
Es handelt sich um einen SQL-Injection-Fehler im VeloCloud Orchestrator von Arista, der mit 9,9 von 10 Punkten auf der CVSS-Skala bewertet wird. Arista gibt an, dass dieser Fehler in der Wildnis ausgenutzt wurde und einem Enterprise Read Only-Konto ermöglicht, zu Operator oder Superuser aufzusteigen.
Welche VeloCloud-Versionen beheben den Fehler?
In der Advisory von Arista werden On-Premises-Builds mit den Versionen 5.2.3.18, 6.1.3.10 und 6.4.2.12 als gefixt gelistet, und es wird angegeben, dass Hosted- und Dedicated-Deployments bereits gepatcht wurden.
Wie schnell nutzen Angreifer solche Schwachstellen aus?
Der M-Trends-2026-Bericht von Google schätzt die durchschnittliche Zeit bis zur Ausnutzung auf weniger als sieben Tage, was bedeutet, dass eine Ausnutzung in der Regel vor Veröffentlichung eines Patches erfolgt. Das DBIR 2026 von Verizon ergab zudem, dass die Ausnutzung von Schwachstellen nun die häufigste Methode ist, mit der Angreifer den initialen Zugang erlangen.
Was sollten VeloCloud-Administratoren jetzt tun?
Administratoren, die einen On-Premises-VeloCloud-Orchestrator (VCO) betreiben, sollten sofort auf eine behobene Version upgraden: 5.2.3.18 oder höher in der 5.2-Serie, 6.1.3.10 oder höher in der 6.1-Serie oder 6.4.2.12 oder höher in der 6.4-Serie. Arista gibt an, dass Hosted- und Dedicated-VCO-Umgebungen bereits gepatcht wurden. Bis ein Upgrade möglich ist, beschränken Sie den Zugriff auf die VCO-Webbenutzeroberfläche auf vertrauenswürdige Administrationsnetzwerke, überwachen Sie Verbindungen von bekannten bösartigen IP-Adressen, untersuchen Sie unerwarteten ausgehenden Datenverkehr, prüfen Sie auf Backdoor-Daemons und Webshells sowie auf unbefugte Änderungen in der Administratoraktivität. Wenn ein Kompromittierung vermutet wird, bewahren Sie Webzugriffs-, Backend-Anwendungs-, System- und Datenbankprotokolle sowie relevante Dateisystem-Zeitstempel vor der Behebung auf, soweit dies betrieblich machbar ist.
Welche Indikatoren für eine Kompromittierung gibt es für CVE-2026-114625?
Arista hat zwei IP-Adressen identifiziert, die mit Angriffen im Zusammenhang mit der Ausnutzung von CVE-2026-114625 in Verbindung stehen: 74.82.197.86 und 38.54.50.151. Administratoren sollten die VCO-Webzugriffsprotokolle auf Verbindungen von diesen Adressen überprüfen und ungewöhnliche URL-ähnliche Pfadkomponenten, codierte Zeichen, Verweise auf lokale oder interne Dienste sowie abnormale Anfragehäufigkeiten untersuchen. Korrelieren Sie verdächtige Webanfragen mit Protokollen der Backend-Anwendungen, des Systems und der Datenbank, um unerwarteten ausgehenden HTTP- oder HTTPS-Traffic, unbefugte Konfigurationsänderungen, ungewöhnliche Wartungsaktionen mit erhöhten Rechten, unerwartete Befehlsausführungen oder Dateierstellungen, Datenbanexports oder Archivdateien sowie verdächtigen Zugriff auf Geräteinventare, Anmeldeinformationen, Zertifikate oder Schlüsselmaterial zu identifizieren. Diese Indikatoren sind nicht abschließend; das Fehlen einer Übereinstimmung schließt eine Kompromittierung nicht aus. Bewahren Sie relevante Protokolle und Dateisystem-Zeitstempel auf, wenn ein Eindringen vermutet wird.
Sind Hosted- oder Dedicated-VeloCloud-Kunden von CVE-2026-114625 betroffen?
Arista gibt an, dass Hosted- und Dedicated-VeloCloud-Orchestrator-Umgebungen betroffen waren, aber bereits gepatcht wurden. Kunden, die diese Dienste nutzen, sollten den Patch-Status ihrer Umgebung mit Arista oder ihrem Diensteanbieter bestätigen und verfügbare Sicherheitsprotokolle überprüfen, falls sie verdächtige Aktivitäten vermuten. Die Korrektur für Hosted-Umgebungen schließt nicht aus, dass vor dem Patching ein Angriff stattfand. Bei On-Premises-Deployments müssen Administratoren ihre Software-Version gegen Aristas Liste betroffener Versionen prüfen und die entsprechende korrigierte Version installieren. VeloCloud Gateway und VeloCloud Edge Produkte sind in dieser Liste nicht als direkt von dieser Schwachstelle betroffen aufgeführt.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com übernimmt keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor der Entscheidung für eine Anlage unabhängige Recherchen durchzuführen und/oder sich mit einem qualifizierten Fachmann beraten zu lassen.
Micah Abiodun
Micah Abiodun nutzt sein Masterstudium in Umwelttechnik und -management (MSc) an der Technischen Universität Tallinn (TalTech), um Inhalte und Preisprognose-Nachrichten bei Cryptopolitan zu verfeinern. Seit nunmehr sieben Jahren im Krypto-Medienbereich tätig, berichtet er über große Kryptowährungen, Altcoins, DeFi, Stablecoins, makroökonomische Trends und aufkommende Technologien.
