Arista corregge la zero-day di VeloCloud sfruttata mentre crescono i rischi SD-WAN
- Arista ha applicato una patch a una vulnerabilità SQL injection nel VeloCloud Orchestrator, classificata con un punteggio di 9.9, già sfruttata dagli attaccanti.
- La vulnerabilità consente a un utente autenticato con soli diritti di lettura di ottenere privilegi di operatore e impersonare un superutente.
- Si tratta della terza vulnerabilità del VeloCloud Orchestrator, attivamente sfruttata, divulgata da luglio.
Il 22 ottobre 2026, Arista Networks ha risolto una vulnerabilità zero-day del VeloCloud Orchestrator che gli attaccanti avevano già sfruttato. La vulnerabilità espone le aziende a rischi perché colpisce il sistema utilizzato per gestire le connessioni di rete tra più sedi.
Come un account con sola lettura diventa un superutente
L'avviso 0199 di Arista identifica la vulnerabilità come CVE-2026-114625, una vulnerabilità di iniezione SQL classificata con un punteggio di 9.9 secondo CVSS v3.1. Il pericolo risiede nel livello di controllo che un attaccante può ottenere, anche partendo dal minimo privilegio di accesso.
Per sfruttare la vulnerabilità, un attaccante deve avere accesso all'interfaccia web e credenziali di accesso valide. Una volta effettuato l'accesso, l'attaccante può utilizzare la vulnerabilità di SQL injection per elevare un account Enterprise Read Only (il ruolo con privilegi più bassi della piattaforma) a privilegi di operatore e impersonare un superutente. La vulnerabilità consente quindi a chi dispone di accesso in sola lettura di ottenere il controllo della piattaforma. Arista ha confermato che gli attaccanti hanno già sfruttato la vulnerabilità.
Le patch e la checklist forense
Gli operatori on-premises dovrebbero verificare le versioni del proprio software. Le release 5.2.x, 6.1.x e 6.4.x interessate richiedono le build corrette 5.2.3.18, 6.1.3.10 e 6.4.2.12, rispettivamente, o release successive all'interno di quelle serie. Le distribuzioni Hosted e Dedicated sono già state patchate.
Secondo Arista, entrambi gli attacchi sono originati dai seguenti indirizzi IP sorgente: 74.82.197.86 e 38.54.50.151. L'azienda consiglia agli amministratori di sistema di indagare sulle richieste web sospette, sulle connessioni in uscita inaspettate e su attività anomale degli amministratori. Si raccomanda inoltre di limitare l'accesso alla gestione della rete alle sole reti attendibili e di conservare i log pertinenti in caso di presunta violazione.
Il terzo difetto di VeloCloud dall'estate
La vulnerabilità di SQL injection è il terzo difetto attivamente sfruttato segnalato in VeloCloud Orchestrator nell'arco di tre mesi.
L'avviso 0144 di Arista, pubblicato per la prima volta il 27 luglio 2026, riguardava una vulnerabilità di iniezione di comandi OS. Un'altra falla è stata divulgata il 22 settembre tramite l'avviso 0183. Entrambe le vulnerabilità coinvolgevano metodi di attacco diversi rispetto a quella più recente.
Nonostante le differenze tra le tre vulnerabilità, hanno comunque interessato la stessa piattaforma di gestione centrale. Poiché VeloCloud Orchestrator gestisce le connessioni su più siti, una violazione della piattaforma potrebbe compromettere diverse reti.
Le patch vengono rilasciate dopo gli exploit
Il 2026 Data Breach Investigations Report di Verizon ha rivelato che lo sfruttamento delle vulnerabilità è responsabile del 31% delle violazioni dei dati. Ha superato le credenziali rubate come metodo principale utilizzato dagli aggressori per accedere alle reti. I risultati sottolineano la necessità per le aziende di risolvere le vulnerabilità prima che gli attaccanti ne approfittino.
Tuttavia, le aziende spesso non riescono a risolvere le vulnerabilità prima che gli aggressori ne approfittino. Secondo il rapporto Google M-Trends 2026, gli attaccanti sfruttano le vulnerabilità di sistema in media per sette giorni prima che sia disponibile una correzione. Il rapporto menziona inoltre alcune minacce contro dispositivi di rete come VPN e router che non dispongono di un monitoraggio standard degli endpoint.
L'IA potrebbe rendere la situazione ancora più pericolosa. In un'indagine separata, i ricercatori di Google hanno documentato l'utilizzo dell'IA da parte degli attaccanti per pianificare ed eseguire una campagna su larga scala di raccolta di credenziali in meno di sei ore. L'operazione ha compromesso migliaia di credenziali di terze parti.
Sebbene non ci siano prove confermate che l'IA abbia giocato un ruolo negli attacchi a VeloCloud, i risultati di Google mostrano come le operazioni assistite dall'IA possano aiutare gli attaccanti ad agire più rapidamente e potenzialmente causare danni maggiori prima che i team di sicurezza possano intervenire.
Perché le correzioni successive sono importanti per un mercato in crescita
Gli attacchi informatici possono avere gravi conseguenze finanziarie. Lo studio IBM del 2026 ha stimato il costo medio globale di una violazione dei dati in 4,99 milioni di dollari. Le preoccupazioni per le minacce emergenti sono inoltre in aumento. Il World Economic Forum ha rilevato che l'87% degli intervistati considera le vulnerabilità legate all'intelligenza artificiale il rischio informatico in più rapida crescita nel 2025.
L'impatto potenziale potrebbe aumentare con l'adozione sempre più diffusa da parte delle imprese delle SD-WAN (reti wide-area definite dal software), che collegano più uffici e consentono alle aziende di gestire il traffico di rete in modo centralizzato. Dell’Oro Group prevede una crescita annuale del ricavo delle SD-WAN del 14% fino al 2030. Con l'espansione di queste reti, un controller centrale compromesso potrebbe interrompere le operazioni aziendali su più sedi, potenzialmente interessando aziende in diversi paesi.
I mercati finanziari affrontano preoccupazioni simili riguardo alle interruzioni operative. Cryptopolitan aveva precedentemente segnalato tentativi di attacchi informatici contro importanti hedge fund, sollevando interrogativi su possibili ripercussioni sui mercati delle criptovalute. Sebbene tali incidenti fossero separati dagli attacchi a VeloCloud, evidenziano l'importanza di proteggere i sistemi critici. Per le aziende che utilizzano VeloCloud, ciò significa applicare le patch, verificare eventuali segni precoci di compromissione e mettere in sicurezza i sistemi che collegano le loro filiali.
Se stai leggendo questo, sei già avanti. Resta così con la nostra newsletter.
Domande frequenti
Cos'è CVE-2026-114625 e quanto è grave?
Si tratta di una vulnerabilità SQL injection in Arista's VeloCloud Orchestrator, classificata 9.9 su 10 nella scala CVSS, che Arista afferma sia stata sfruttata nel mondo reale e che può consentire a un account Enterprise Read Only di ottenere privilegi di operatore o superutente.
Quali versioni di VeloCloud correggono la vulnerabilità?
L'avviso di Arista elenca le build fisse on-premises 5.2.3.18, 6.1.3.10 e 6.4.2.12, e dichiara che le distribuzioni Hosted e Dedicated sono già state patchate.
Con quale velocità gli attaccanti sfruttano vulnerabilità di questo tipo?
Il rapporto M-Trends 2026 di Google stima che il tempo medio per l'exploit sia inferiore a sette giorni, il che significa che lo sfruttamento avviene abitualmente prima del rilascio di una patch; il DBIR 2026 di Verizon ha inoltre rilevato che lo sfruttamento delle vulnerabilità è ora il metodo più comune con cui gli attaccanti ottengono l'accesso iniziale.
Cosa dovrebbero fare immediatamente gli amministratori VeloCloud?
Gli amministratori che eseguono VeloCloud Orchestrator (VCO) on-premises dovrebbero effettuare un aggiornamento immediato a una versione corretta: 5.2.3.18 o successiva nella serie 5.2, 6.1.3.10 o successiva nella serie 6.1, oppure 6.4.2.12 o successiva nella serie 6.4. Arista afferma che gli ambienti VCO Hosted e Dedicated sono già stati patchati. Fino a quando non sarà possibile effettuare un aggiornamento, limitare l'accesso all'interfaccia web di VCO alle reti amministrative attendibili, monitorare le connessioni provenienti da indirizzi IP dannosi noti, indagare sul traffico in uscita inaspettato, verificare la presenza di daemon backdoor e webshell, e rivedere l'attività degli amministratori alla ricerca di modifiche non autorizzate. In caso di sospetto compromesso, preservare i log di accesso web, dell'applicazione backend, di sistema e del database, insieme ai timestamp rilevanti del filesystem, prima della remediation ove operativamente fattibile.
Quali sono gli indicatori di compromesso per CVE-2026-114625?
Arista ha identificato due indirizzi IP associati ad attacchi che sfruttano CVE-2026-114625: 74.82.197.86 e 38.54.50.151. Gli amministratori dovrebbero verificare i log di accesso web VCO per connessioni provenienti da questi indirizzi ed esaminare componenti del percorso simili a URL, caratteri codificati, riferimenti a servizi locali o interni e tassi di richiesta anormalmente elevati. Correlare le richieste web sospette con i log delle applicazioni backend, di sistema e del database per individuare traffico HTTP o HTTPS in uscita inaspettato, modifiche non autorizzate alla configurazione, azioni di manutenzione privilegiate insolite, esecuzione di comandi o creazione di file imprevisti, esportazioni di database o file di archivio e accessi sospetti agli inventari dei dispositivi, alle credenziali, ai certificati o al materiale crittografico. Questi indicatori non sono esaustivi; l'assenza di una corrispondenza non esclude un eventuale compromesso. Conservare i log pertinenti e i timestamp del filesystem se si sospetta un'intrusione.
I clienti VeloCloud Hosted o Dedicated sono interessati da CVE-2026-114625?
Arista ha dichiarato che gli ambienti VeloCloud Orchestrator ospitati e dedicati sono stati interessati ma sono già stati patchati. I clienti che utilizzano questi servizi dovrebbero confermare lo stato di patch del proprio ambiente con Arista o con il proprio provider di servizi ed esaminare i log di sicurezza disponibili se sospettano attività sospette. La correzione per gli ambienti ospitati non esclude che un attacco sia avvenuto prima della patch. Per le distribuzioni on-premises, gli amministratori devono verificare la versione del software rispetto all'elenco delle versioni colpite da Arista e installare la versione corretta appropriata. I prodotti VeloCloud Gateway e VeloCloud Edge non sono elencati come direttamente colpiti da questa vulnerabilità.
Disclaimer. Le informazioni fornite non costituiscono consulenza finanziaria. Cryptopolitan.com non si assume alcuna responsabilità per eventuali investimenti basati sulle informazioni presenti in questa pagina. Si raccomanda vivamente di effettuare ricerche autonome e/o consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Micah Abiodun
Micah Abiodun utilizza al meglio la sua laurea magistrale in Ingegneria Ambientale e Gestione (MSc) presso l'Università Tecnologica di Tallinn (TalTech) per affinare le notizie su contenuti e previsioni dei prezzi su Cryptopolitan. Ora al suo 7° anno nello spazio mediatico crypto, copre le principali criptovalute, altcoin, DeFi, stablecoin, trend macroeconomici e tecnologie emergenti.
