Arista corrige zero-day do VeloCloud explorado enquanto riscos de SD-WAN aumentam
- A Arista corrigiu uma falha de injeção de SQL no VeloCloud Orchestrator, classificada com nota 9,9, já explorada por atacantes.
- A vulnerabilidade pode permitir que um usuário autenticado com acesso somente leitura obtenha privilégios de operador e se passe por um superusuário.
- Esta é a terceira vulnerabilidade do VeloCloud Orchestrator, já explorada ativamente, divulgada desde julho.
Em 22 de outubro de 2026, a Arista Networks corrigiu uma vulnerabilidade zero-day no VeloCloud Orchestrator que os atacantes já haviam explorado. A vulnerabilidade coloca as empresas em risco, pois afeta o sistema utilizado para gerenciar conexões de rede em múltiplos locais.
Como uma conta somente leitura se torna um superusuário
O Advisory 0199 da Arista identifica a vulnerabilidade como CVE-2026-114625, uma vulnerabilidade de injeção de SQL classificada com nota 9.9 sob o CVSS v3.1. O perigo reside no nível de controle que um atacante pode obter, mesmo com o menor nível de acesso.
Para explorar a vulnerabilidade, um atacante precisa ter acesso à interface web e credenciais de login válidas. Após o login, o atacante pode usar a vulnerabilidade de injeção SQL para elevar uma conta Enterprise Read Only (somente leitura), que é a função com menor privilégio da plataforma, para privilégios de operador e se passar por um superusuário. Portanto, a vulnerabilidade permite que alguém com acesso somente leitura obtenha controle sobre a plataforma. A Arista confirmou que os atacantes já exploraram a vulnerabilidade.
Os patches e a lista de verificação forense
Os operadores on-premises devem verificar as versões do seu software. As versões afetadas 5.2.x, 6.1.x e 6.4.x exigem as compilações corrigidas 5.2.3.18, 6.1.3.10 e 6.4.2.12, respectivamente, ou versões posteriores dentro dessas mesmas linhas. As implantações Hosted e Dedicated já estão patcheadas.
De acordo com a Arista, ambos os ataques originaram-se dos seguintes endereços IP de origem: 74.82.197.86 e 38.54.50.151. A empresa recomenda que administradores de sistema investiguem solicitações web suspeitas, conexões de saída inesperadas e atividades incomuns por parte de administradores. Também é recomendado limitar o acesso à gestão a redes confiáveis e preservar os logs relevantes em caso de violação suspeita.
O terceiro defeito do VeloCloud desde o verão
A vulnerabilidade de injeção SQL é o terceiro defeito explorado ativamente relatado no VeloCloud Orchestrator em três meses.
O advisory 0144 da Arista, emitido pela primeira vez em 27 de julho de 2026, abordou uma vulnerabilidade de injeção de comandos do sistema operacional. Outra falha foi divulgada em 22 de setembro por meio do advisory 0183. Ambas envolviam métodos de ataque diferentes da vulnerabilidade mais recente.
Apesar das diferenças entre as três vulnerabilidades, elas afetaram a mesma plataforma de gerenciamento central. Como o VeloCloud Orchestrator gerencia conexões em vários sites, uma violação na plataforma pode comprometer várias redes.
Os patches agora chegam após os exploits
O Relatório de Investigações sobre Violações de Dados de 2026 da Verizon revelou que a exploração de vulnerabilidades foi responsável por 31% das violações de dados. Ela superou as credenciais roubadas como o principal método usado pelos atacantes para obter acesso às redes. Os resultados enfatizam a necessidade de as empresas corrigirem as vulnerabilidades antes que os atacantes se aproveitem delas.
No entanto, as empresas geralmente não conseguem corrigir as vulnerabilidades antes que os atacantes se aproveitem delas. De acordo com o relatório Google M-Trends 2026, os atacantes exploram vulnerabilidades do sistema por uma média de sete dias antes que uma correção esteja disponível. O relatório mencionou ainda algumas ameaças contra dispositivos de rede, como VPNs e roteadores, que não possuem monitoramento padrão de endpoints.
A IA pode tornar a situação mais perigosa. Em uma investigação separada, pesquisadores do Google documentaram o uso de IA por atacantes para planejar e executar uma campanha em larga escala de coleta de credenciais em menos de seis horas. A operação comprometeu milhares de credenciais de terceiros.
Embora não haja evidências confirmadas de que a IA tenha tido papel nos ataques ao VeloCloud, as descobertas do Google mostram como operações assistidas por IA podem ajudar os atacantes a agir mais rápido e potencialmente causar danos maiores antes que as equipes de segurança consigam responder.
Por que correções sucessivas são importantes para um mercado em crescimento
Os ciberataques podem ter consequências financeiras graves. O estudo da IBM de 2026 estimou o custo médio global de uma violação de dados em US$ 4,99 milhões. As preocupações com ameaças emergentes também estão crescendo. O Fórum Econômico Mundial constatou que 87% dos entrevistados consideraram as vulnerabilidades relacionadas à IA como o risco cibernético de mais rápido crescimento durante 2025.
O impacto potencial pode aumentar à medida que mais empresas adotam SD-WANs (redes de área ampla definidas por software), que conectam múltiplos escritórios e permitem que as empresas gerenciem o tráfego de rede centralmente. O Grupo Dell'Oro prevê um crescimento anual de receita do SD-WAN de 14% até 2030. À medida que essas redes se expandem, um controlador central comprometido pode interromper as operações comerciais em várias localizações, afetando potencialmente empresas em diferentes países.
Os mercados financeiros enfrentam preocupações semelhantes quanto a interrupções operacionais. O Cryptopolitan relatou anteriormente tentativas de ciberataques contra grandes fundos de hedge, levantando questões sobre possíveis efeitos colaterais nos mercados de criptomoedas. Embora esses incidentes tenham sido separados dos ataques à VeloCloud, eles destacam a importância de proteger sistemas críticos. Para empresas que utilizam a VeloCloud, isso significa aplicar patches, verificar sinais anteriores de comprometimento e garantir a segurança dos sistemas que conectam suas filiais.
As mentes mais inteligentes do setor de criptomoedas já leem nosso boletim informativo. Quer entrar? Junte-se a eles.
Perguntas Frequentes
O que é CVE-2026-114625 e qual é sua gravidade?
Trata-se de uma falha de injeção SQL no VeloCloud Orchestrator da Arista, classificada com nota 9,9 de 10 na escala CVSS, que a Arista afirma ter sido explorada em ambiente real e que permite que uma conta Enterprise Read Only seja escalonada para operador ou superusuário.
Quais versões do VeloCloud corrigem a falha?
O boletim de segurança da Arista lista as versões corrigidas para instalações on-premises: 5.2.3.18, 6.1.3.10 e 6.4.2.12, e informa que as implantações Hosted e Dedicated já foram patcheadas.
Com que rapidez os atacantes estão explorando vulnerabilidades como esta?
O relatório M-Trends 2026 do Google estima que o tempo médio para exploração seja de menos sete dias, o que significa que a exploração ocorre rotineiramente antes que um patch seja lançado, e o DBIR 2026 da Verizon descobriu que a exploração de vulnerabilidades é agora a maneira mais comum pela qual os invasores obtêm acesso inicial.
O que os administradores do VeloCloud devem fazer agora?
Os administradores que executam o VeloCloud Orchestrator (VCO) on-premises devem atualizar imediatamente para uma versão corrigida: 5.2.3.18 ou posterior na série 5.2, 6.1.3.10 ou posterior na série 6.1, ou 6.4.2.12 ou posterior na série 6.4. A Arista afirma que os ambientes VCO Hosted e Dedicated já foram corrigidos. Até que uma atualização seja possível, restrinja o acesso à interface web do VCO a redes administrativas confiáveis, monitore conexões provenientes de endereços IP maliciosos conhecidos, investigue tráfego de saída inesperado, verifique a presença de backdoors e webshells e revise a atividade dos administradores em busca de alterações não autorizadas. Se houver suspeita de comprometimento, preserve os logs de acesso web, do aplicativo backend, do sistema e do banco de dados, juntamente com os timestamps relevantes do sistema de arquivos, antes da remediação, onde isso for operacionalmente viável.
Quais são os indicadores de comprometimento para CVE-2026-114625?
A Arista identificou dois endereços IP associados a ataques que exploram o CVE-2026-114625: 74.82.197.86 e 38.54.50.151. Os administradores devem verificar os logs de acesso web do VCO em busca de conexões provenientes desses endereços e investigar componentes de caminho semelhantes a URLs, caracteres codificados, referências a serviços locais ou internos e taxas de solicitação anormalmente altas. Correlacione solicitações web suspeitas com os logs de aplicativos backend, sistema e banco de dados para identificar tráfego HTTP ou HTTPS de saída inesperado, alterações não autorizadas na configuração, ações de manutenção privilegiadas incomuns, execução inesperada de comandos ou criação de arquivos, exportações de banco de dados ou arquivos de arquivo, e acesso suspeito a inventários de dispositivos, credenciais, certificados ou material de chave. Esses indicadores não são exaustivos; a ausência de correspondência não descarta uma violação. Preserve os logs relevantes e os carimbos de data/hora do sistema de arquivos se houver suspeita de intrusão.
Os clientes VeloCloud hospedados ou dedicados são afetados pelo CVE-2026-114625?
A Arista informa que os ambientes VeloCloud Orchestrator hospedados e dedicados foram afetados, mas já foram corrigidos. Os clientes que utilizam esses serviços devem confirmar o status de correção do seu ambiente com a Arista ou seu provedor de serviços e revisar os logs de segurança disponíveis caso suspeitem de atividade suspeita. A correção para ambientes hospedados não garante que nenhum ataque tenha ocorrido antes da aplicação do patch. Para implantações on-premises, os administradores devem verificar a versão do seu software em relação à lista de versões afetadas pela Arista e instalar a versão corrigida apropriada. Os produtos VeloCloud Gateway e VeloCloud Edge não estão listados como diretamente afetados por esta vulnerabilidade.
Aviso. As informações fornecidas não constituem aconselhamento de negociação. Cryptopolitan.com não assume responsabilidade por quaisquer investimentos realizados com base nas informações fornecidas nesta página. Recomendamos fortemente a realização de pesquisa independente e/ou consulta a um profissional qualificado antes de tomar qualquer decisão de investimento.
Micah Abiodun
Micah Abiodun faz bom uso de sua especialização em Engenharia e Gestão Ambiental (MSc) na Universidade de Tecnologia de Tallinn (TalTech) para refinar notícias sobre previsão de preços e conteúdo no Cryptopolitan. Agora em seu 7º ano no espaço de mídia cripto, ele cobre principais criptomoedas, altcoins, DeFi, stablecoins, tendências macroeconômicas e tecnologias emergentes.
