Arista закрыла эксплуатируемую уязимость нулевого дня в VeloCloud на фоне растущих рисков SD-WAN
- Arista устранила уязвимость SQL-инъекции в Arista VeloCloud Orchestrator с рейтингом опасности 9.9, которая уже эксплуатировалась злоумышленниками.
- Эта уязвимость позволяет пользователю с правами только для чтения получить операторские привилегии и выдать себя за суперпользователя.
- Это третья активно эксплуатируемая уязвимость Arista VeloCloud Orchestrator, раскрытая с июля.
22 октября 2026 года компания Arista Networks исправила уязвимость нулевого дня в Arista VeloCloud Orchestrator, которую злоумышленники уже использовали. Эта уязвимость создает риски для бизнеса, поскольку затрагивает систему, используемую для управления сетевыми подключениями между несколькими сайтами.
Как учетная запись с правами только для чтения становится суперпользователем
В Advisory 0199 компании Arista уязвимость идентифицирована как CVE-2026-114625 — это SQL-инъекция с оценкой 9,9 по шкале CVSS v3.1. Опасность заключается в уровне контроля, который может получить злоумышленник, даже при минимальных правах доступа.
Для эксплуатации уязвимости злоумышленнику требуется доступ к веб-интерфейсу и действительные учетные данные для входа. После авторизации злоумышленник может использовать уязвимость SQL-инъекции для повышения привилегий учетной записи Enterprise Read Only (самой низкоуровневой роли на платформе) до уровня оператора и маскировки под суперпользователя. Таким образом, уязвимость позволяет лицу с правами только на чтение получить контроль над платформой. Arista подтвердила, что злоумышленники уже эксплуатировали эту уязвимость.
Патчи и чек-лист по сбору форензических данных
Операторы локальных развертываний должны проверить версии своего программного обеспечения. Для затронутых релизов 5.2.x, 6.1.x и 6.4.x требуются исправленные сборки 5.2.3.18, 6.1.3.10 и 6.4.2.12 соответственно или более поздние версии в этих ветках. Развертывания в облаке (Hosted) и выделенные (Dedicated) уже защищены патчами.
По данным Arista, обе атаки были инициированы со следующих IP-адресов: 74.82.197.86 и 38.54.50.151. Компания рекомендует системным администраторам проверять подозрительные веб-запросы, неожиданные исходящие соединения и необычную активность администраторов. Также рекомендуется ограничивать доступ к управлению доверенными сетями и сохранять соответствующие журналы на случай предполагаемого нарушения безопасности.
Третья уязвимость VeloCloud с лета
Уязвимость SQL-инъекции является третьей активно эксплуатируемой ошибкой, о которой сообщалось в VeloCloud Orchestrator за последние три месяца.
Advisory 0144 компании Arista, впервые опубликованный 27 июля 2026 года, касался уязвимости внедрения команд ОС. Другая уязвимость была раскрыта 22 сентября через advisory 0183. Обе они использовали иные методы атаки, чем последняя известная уязвимость.
Несмотря на различия между тремя уязвимостями, они затронули одну и ту же центральную платформу управления. Поскольку VeloCloud Orchestrator управляет соединениями между несколькими сайтами, взлом платформы может привести к компрометации нескольких сетей.
Патчи выходят после эксплуатации
Отчет Verizon 2026 Data Breach Investigations Report показал, что эксплуатация уязвимостей стала причиной 31% утечек данных. Этот метод вытеснил кражу учетных данных и стал основным способом злоумышленников для получения доступа к сетям. Результаты подчеркивают необходимость для компаний устранять уязвимости до того, как атакующие смогут ими воспользоваться.
Однако компании обычно не успевают устранить уязвимости до того, как атакующие используют их. Согласно отчету Google M-Trends 2026, злоумышленники эксплуатируют уязвимости в системах в среднем в течение семи дней до появления исправления. В отчете также упоминаются угрозы, направленные против сетевых устройств, таких как VPN-серверы и маршрутизаторы, которые не имеют стандартного мониторинга конечных точек.
Искусственный интеллект может усугубить ситуацию. В ходе отдельного расследования исследователи Google задокументировали случаи использования злоумышленниками ИИ для планирования и реализации масштабной кампании по сбору учетных данных менее чем за шесть часов. В результате этой операции были скомпрометированы тысячи учетных данных сторонних сервисов.
Хотя нет подтверждённых данных о том, что ИИ играл роль в атаках на VeloCloud, выводы Google показывают, как операции с поддержкой ИИ могут помочь злоумышленникам действовать быстрее и нанести больший ущерб до того, как команды безопасности успеют отреагировать.
Почему последовательные исправления важны для растущего рынка
Кибератаки могут иметь серьезные финансовые последствия. Исследование IBM 2026 года оценило средние глобальные затраты на утечку данных в 4,99 млн долларов США. Растут и опасения по поводу новых угроз. Всемирный экономический форум выявил, что 87% респондентов считают уязвимости, связанные с искусственным интеллектом, самой быстрорастущей киберугрозой в 2025 году.
Потенциальное воздействие может возрасти по мере того, как все больше компаний внедряют SD-WAN (программно-определяемые широкополосные сети), которые соединяют несколько офисов и позволяют централизованно управлять сетевым трафиком. Dell’Oro Group прогнозирует рост выручки от SD-WAN на 14% ежегодно до 2030 года. По мере расширения таких сетей компрометация центрального контроллера может нарушить бизнес-процессы в нескольких локациях, потенциально затронув компании в разных странах.
Финансовые рынки сталкиваются с аналогичными опасениями относительно операционных сбоев. Ранее сообщалось, что были зафиксированы попытки кибератак на крупные хедж-фонды, что вызвало вопросы о возможном распространении угрозы на криптовалютные рынки. Хотя эти инциденты не связаны напрямую с атаками на VeloCloud, они подчеркивают важность защиты критически важных систем. Для компаний, использующих VeloCloud, это означает своевременное применение патчей, мониторинг ранних признаков компрометации и обеспечение безопасности систем, обеспечивающих связь между филиалами.
Не просто читайте новости о криптовалютах. Понимайте их. Подпишитесь на нашу рассылку. Это бесплатно.
Часто задаваемые вопросы
Что такое CVE-2026-114625 и насколько она серьёзна?
Это уязвимость SQL-инъекции в Arista's VeloCloud Orchestrator, оценённая в 9,9 из 10 по шкале CVSS. По данным Arista, она уже эксплуатировалась в реальных условиях и позволяет аккаунту Enterprise Read Only повысить привилегии до уровня оператора или суперпользователя.
Какие версии VeloCloud устраняют уязвимость?
В рекомендациях Arista указаны исправленные локальные сборки 5.2.3.18, 6.1.3.10 и 6.4.2.12, а также отмечается, что развёртывания Hosted и Dedicated уже были защищены патчами.
Как быстро злоумышленники эксплуатируют подобные уязвимости?
В отчете M-Trends 2026 от Google оценивается среднее время до эксплуатации уязвимости как минус семь дней, что означает: эксплуатация обычно происходит до выхода патча. В то же время Verizon DBIR 2026 выявил, что эксплуатация уязвимостей стала самым распространенным способом первоначального доступа злоумышленников.
Что администраторам VeloCloud следует сделать прямо сейчас?
Администраторы, использующие локальную версию VeloCloud Orchestrator (VCO), должны немедленно обновиться до исправленной версии: 5.2.3.18 или новее в ветке 5.2, 6.1.3.10 или новее в ветке 6.1, либо 6.4.2.12 или новее в ветке 6.4. Компания Arista сообщает, что среды Hosted и Dedicated VCO уже защищены патчами. До момента обновления ограничьте доступ к веб-интерфейсу VCO только для доверенных административных сетей, отслеживайте соединения с известными вредоносными IP-адресами, исследуйте неожиданный исходящий трафик, проверяйте наличие бэкдоров и веб-шеллов, а также анализируйте действия администраторов на предмет несанкционированных изменений. При подозрении на компрометацию, если это возможно без ущерба для операционной деятельности, перед устранением инцидента сохраните логи доступа к веб-интерфейсу, приложения, системные и базы данных, а также соответствующие временные метки файловых систем.
Каковы признаки компрометации (IoC) для CVE-2026-114625?
Arista выявила два IP-адреса, связанных с атаками, использующими уязвимость CVE-2026-114625: 74.82.197.86 и 38.54.50.151. Администраторам следует проверить журналы доступа к веб-интерфейсу VCO на наличие соединений с этих адресов и исследовать необычные компоненты URL-путей, закодированные символы, упоминания локальных или внутренних служб, а также аномально высокую частоту запросов. Сопоставьте подозрительные веб-запросы с журналами бэкенд-приложений, системными журналами и базами данных для выявления неожиданного исходящего HTTP или HTTPS-трафика, несанкционированных изменений конфигурации, необычных действий привилегированных пользователей по техническому обслуживанию, непредвиденного выполнения команд или создания файлов, экспорта баз данных или архивных файлов, а также подозрительного доступа к инвентарю устройств, учетным данным, сертификатам или ключевым материалам. Эти индикаторы не являются исчерпывающими; отсутствие совпадений не исключает факт компрометации. При подозрении на вторжение сохраните соответствующие журналы и временные метки файловой системы.
Затрагивает ли уязвимость CVE-2026-114625 клиентов VeloCloud с размещением (Hosted) или выделенными (Dedicated) ресурсами?
Arista сообщает, что затронуты среды Hosted и Dedicated VeloCloud Orchestrator, однако они уже были исправлены. Клиентам, использующим эти сервисы, следует подтвердить статус исправления своей среды у Arista или у своего провайдера услуг и проверить доступные журналы безопасности, если есть подозрения на подозрительную активность. Исправление для хостинговых сред не гарантирует, что атаки до применения исправления не было. Для локальных развертываний администраторам необходимо сверить версию своего программного обеспечения со списком затронутых версий от Arista и установить соответствующую исправленную версию. Продукты VeloCloud Gateway и VeloCloud Edge в списке напрямую затронутых данной уязвимостью не указаны.
Отказ от ответственности. Предоставленная информация не является торговой рекомендацией. Cryptopolitan.com не несет ответственности за любые инвестиции, сделанные на основе информации, представленной на этой странице. Мы настоятельно рекомендуем проводить независимые исследования и/или консультироваться с квалифицированным специалистом перед принятием любых инвестиционных решений.
Мика Абийоун
Мика Абьодун успешно применяет свои знания в области экологического инжиниринга и управления (MSc), полученные в Технологическом университете Таллинна (TalTech), для создания качественного контента и новостей о прогнозах цен в Cryptopolitan. Находясь в крипто-медиа сфере уже 7 лет, он освещает основные криптовалюты, альткоины, DeFi, стейблкоины, макроэкономические тренды и новые технологии.
