Para quem é esta página: equipes de rede e segurança que executam, em infraestrutura própria, a plataforma de gerenciamento de SD-WAN da Arista, o VeloCloud Orchestrator (VCO). Esta página se baseia nos comunicados de segurança da Arista e nos dados públicos da CISA. Ela não trata de como os ataques funcionam.
Em andamento: esta página será atualizada conforme novas informações forem publicadas
Em 24 de outubro de 2026, 03:45 UTCAinda não se sabe
- Quando a exploração começou e quem está por trás dela
- Por que a linha 7.0 não está listada e quais são as correções da 7.0 para as falhas de julho e setembro
- Versões corrigidas da falha de setembro (CVE-2026-93952) na linha 6.1
- Comunicados de órgãos públicos japoneses (JPCERT/CC, IPA)
A Arista publicou o Security Advisory 0199 (revisão 1.0) em 22 de outubro, e a CISA incluiu a falha no KEV em 23 de outubro. Nenhuma das duas informou quando a exploração começou nem quem está por trás dela. Nem o comunicado nem a entrada do KEV mencionam código de exploração público. Esta página será atualizada quando o comunicado for revisado.
O que fazer hoje (VCO on-prem)
Verifique sua versão e escolha a versão de destino
Verifique a versão do seu VCO e use a tabela abaixo para escolher a versão para a qual migrar. As correções desta falha (5.2.3.18, 6.1.3.10, 6.4.2.12) são mais novas que as de julho e setembro. É preciso atualizar de novo mesmo que você tenha aplicado essas.
Preserve os logs e os registros de data e hora dos arquivos antes de atualizar
Se houver suspeita de comprometimento, a Arista pede que os operadores preservem os logs de acesso web do VCO, os logs da aplicação de backend, os logs do sistema, os logs do banco de dados e os registros de data e hora relevantes do sistema de arquivos antes da correção. Copie-os para outro local antes que uma atualização ou reconstrução os sobrescreva.
Atualize para a versão corrigida
Migre para a versão corrigida mais recente de sua linha. Este comunicado diz que as versões não listadas não são vulneráveis, e a 7.0 não está listada. Como também não há correções da 7.0 listadas para as falhas de julho e setembro, confirme com o Arista TAC (Technical Assistance Center) — esta é uma recomendação nossa, não do comunicado. As versões em fim de suporte não foram avaliadas.
Restrinja quem pode acessar a interface de gerenciamento
A Arista diz que o VCO fica exposto por padrão e que nenhuma configuração impede a exposição. Use o firewall à frente do VCO para limitar o acesso à interface web a redes administrativas confiáveis. Antes de restringir, confirme de quais conexões a operação depende, como os dispositivos VeloCloud Edge que se conectam ao VCO.
Verifique sinais de comprometimento
Siga as verificações da seção abaixo. A Arista não disse quando a exploração começou, então volte o quanto seus logs retidos permitirem. O comunicado também lista endereços de origem vistos nos ataques. Abra o comunicado da Arista e compare essa lista com seus próprios logs.
Revise as contas de usuário
Esta falha pode ser explorada com o papel de locatário integrado de menor nível, Enterprise Read Only. Desative contas sem uso, contas de ex-funcionários ou prestadores e contas compartilhadas, e revise as senhas das contas que você mantiver.
Versões corrigidas por linha (três comunicados lado a lado)
Cada comunicado indica suas próprias versões corrigidas. Para escolher um destino por linha, este site alinhou os três comunicados da Arista.
| Linha | Julho: CVE-2026-16812 (SA-0144) | Setembro: CVE-2026-93952 (SA-0183) | Outubro: CVE-2026-114625 (SA-0199) | Destino |
|---|---|---|---|---|
| 5.2 | Corrigida na 5.2.3.14 e posteriores | Corrigida na 5.2.3.16 e posteriores | Corrigida na 5.2.3.18 e posteriores | 5.2.3.18 ou posterior |
| 6.1 | Corrigida na 6.1.3.4 e posteriores | Afetadas: 6.1.3.7 e anteriores. Nenhuma correção da 6.1 listada | Corrigida na 6.1.3.10 e posteriores | 6.1.3.10 ou posterior (confirme a falha de setembro com o Arista TAC) |
| 6.4 | Corrigida na 6.4.2.4 e posteriores | Corrigida na 6.4.2.8 e posteriores | Corrigida na 6.4.2.12 e posteriores | 6.4.2.12 ou posterior |
| 7.0 | Afetadas: anteriores à 7.0.0.1. Nenhuma correção da 7.0 listada | Afetadas: 7.0.0.2 e anteriores. Nenhuma correção da 7.0 listada | Não listada (o comunicado diz que versões não listadas não são vulneráveis) | Confirme com o Arista TAC (nenhuma correção da 7.0 listada para julho ou setembro) |
| Fim de suporte | Não avaliadas | Contate o TAC | Não avaliadas | Confirme com o Arista TAC |
O comunicado de setembro (SA-0183) diz que as correções para outras linhas "serão adicionadas ao longo do tempo" (revisão 1.1, verificado em 24 de outubro).
Julho SA-0144
Corrigida na 5.2.3.14
Setembro SA-0183
Corrigida na 5.2.3.16
Outubro SA-0199
Corrigida na 5.2.3.18 (migre para esta)
O que a Arista divulgou
- CVE
- CVE-2026-114625
- Tipo
- Injeção de SQL (CWE-89)
- Gravidade
- CVSS v4.0 9.4, v3.1 9.9 (pontuações da Arista, que o NVD também lista)
- Impacto
- Qualquer usuário autenticado pode obter privilégios de operador e se passar por um "operador superusuário" local. Isso alcança remotamente funcionalidades somente internas e pode comprometer a confidencialidade, a integridade e a disponibilidade do orquestrador e dos dados que ele gerencia
- Requisitos
- Acesso de rede à interface web do VCO e uma sessão autenticada válida. O papel mínimo é Enterprise Read Only, o papel de locatário integrado de menor nível. O VCO fica exposto por padrão e nenhuma configuração impede a exposição
- Afetadas
- VeloCloud Orchestrator On-Prem: 5.2.x anteriores à 5.2.3.18, 6.1.x anteriores à 6.1.3.10, 6.4.x anteriores à 6.4.2.12. A linha 7.0 não está listada; o comunicado diz que versões não listadas não são vulneráveis. As versões em fim de suporte não foram avaliadas
- Não afetados
- VeloCloud Edge, VeloCloud Gateway, produtos Arista baseados em EOS e outros
- Hospedado
- O VCO hospedado, incluindo o Dedicated, foi afetado e já foi corrigido
- Exploração
- Detectada pela Arista e "conhecida por ser explorada ativamente"
A CISA incluiu a CVE-2026-114625 no KEV em 23 de outubro e definiu 26 de outubro como prazo para as agências federais dos EUA. A entrada do KEV a marca como exigindo triagem forense. O uso conhecido em ransomware consta como "Unknown" (desconhecido).
Três falhas exploradas em três meses
27 de julho de 2026
A Arista divulga a CVE-2026-16812 (injeção de comandos do sistema operacional, CVSS 10.0) no SA-0144. Não exige login. Descoberta externamente e conhecida por ser explorada. A CISA a inclui no KEV no mesmo dia (prazo 30 de julho).3 de agosto
O SA-0144 é revisado para incluir o VCO hospedado entre as plataformas afetadas.22 de setembro
A Arista divulga a CVE-2026-93952 (validação de entrada inadequada, CVSS v3.1 10.0, v4.0 9.5) no SA-0183. Não exige login. Aplica-se onde está configurada a autenticação por certificado do VeloCloud Edge para o VCO. Descoberta externamente e conhecida por ser explorada. A CISA a inclui no KEV no mesmo dia (prazo 25 de setembro).22 de outubro
A Arista divulga a CVE-2026-114625 (injeção de SQL, CVSS v4.0 9.4) no SA-0199, detectada pela própria Arista e conhecida por ser explorada.23 de outubro
A CISA a inclui no KEV (prazo 26 de outubro).
As falhas de julho e setembro não exigem login; a de outubro exige. Os tipos de bug são diferentes, mas os três comunicados descrevem o mesmo resultado: acesso remoto a funcionalidades somente internas que pode afetar o host do VCO. Os três listam controles provisórios em comum, como restringir a interface web a redes administrativas.
Como verificar se houve comprometimento (segundo os comunicados)
Guarde as evidências antes de corrigir
A Arista pede que os operadores que suspeitam de comprometimento preservem os logs de acesso web do VCO, os logs da aplicação de backend, os logs do sistema, os logs do banco de dados e os registros de data e hora relevantes do sistema de arquivos antes da correção, quando for viável operacionalmente. Atualizar ou reconstruir primeiro destrói o que você precisa para investigar.
| Onde procurar | O que verificar (segundo o comunicado) |
|---|---|
| Logs de acesso web | Componentes de caminho incomuns semelhantes a URLs, caracteres codificados, referências a serviços locais ou internos, altas taxas de requisições |
| Endereços de origem | Conexões das origens de ataque listadas no comunicado (confira a lista no comunicado da Arista) |
| Tráfego de saída do VCO | Conexões de saída inesperadas. Considere bloquear portas de saída desnecessárias à operação normal |
| No host | Daemons de backdoor e webshells |
| Atividade de administradores | Alterações recentes que ninguém da sua equipe fez |
Os comunicados de julho (SA-0144) e setembro (SA-0183) acrescentam mais itens: alterações sensíveis de configuração que não correspondem ao trabalho dos administradores; execução de comandos, criação de arquivos, exportações ou arquivamentos de banco de dados inesperados; e acesso inesperado a conteúdo do banco de dados, configuração, inventário de dispositivos, credenciais, certificados ou chaves. O SA-0183 também lista artefatos específicos de arquivos e logs. Se você os encontrar, a Arista pede que preserve o estado do VCO e contate o Arista TAC.
Se você encontrar um comprometimento
Os comunicados de julho e setembro listam etapas pós-correção. Eles alertam que um VCO comprometido também pode dar aos invasores acesso aos dispositivos VeloCloud Edge.
- Troque as credenciais
- Revise a atividade dos administradores
- Valide o estado dos dispositivos gerenciados (Edges)
- Restaure ou substitua o orquestrador a partir de fontes confiáveis
A visão deste site: mantenha os planos de gerenciamento fora da internet
O VCO é onde se gerencia a configuração dos dispositivos SD-WAN de todas as filiais. Os próprios comunicados da Arista dizem que um VCO comprometido pode expor os dispositivos Edge que ele gerencia.
Os três comunicados exigem acesso de rede à interface web do VCO. Dois deles, o de julho e o de outubro, dizem que o VCO fica exposto por padrão e que nenhuma configuração impede a exposição. A menos que o operador restrinja o acesso na camada de rede, a próxima falha partirá da mesma posição exposta. Com três falhas em três meses, esperar cada correção não basta por si só.
Práticas que deixam você exposto à próxima falha
- A interface de gerenciamento pode ser acessada de qualquer lugar da internet
- O trabalho para quando a correção é aplicada
- Contas somente leitura são deixadas de lado porque "não podem fazer nada"
- O tráfego de saída do VCO não tem restrição
Práticas que limitam a próxima falha
- A interface de gerenciamento só é acessível a partir de uma rede administrativa ou de uma VPN
- Os logs são preservados e revisados em busca de sinais de comprometimento a cada atualização
- As contas são revisadas regularmente e as sem uso são desativadas
- O tráfego de saída do VCO é limitado aos destinos de que a operação precisa
O mesmo padrão se repete com interfaces de gerenciamento de VPN e firewall. Para saber como encontrar e proteger interfaces de gerenciamento expostas à internet, veja defesa de acesso remoto para appliances de VPN. Para entender por que as inclusões no KEV vão para o topo da fila, veja como decidir o que corrigir primeiro com CVSS, EPSS e KEV.
O que ainda não se sabe
| Item | Situação |
|---|---|
| Exploração ativa | Confirmada (Arista, CISA) |
| Quando a exploração começou e quem está por trás dela | Não informado |
| Número de organizações afetadas | Não informado |
| Código de exploração público | Não informado (comunicado e KEV) |
| Por que a linha 7.0 não está listada | Não informado (o comunicado diz que versões não listadas não são vulneráveis) |
| Correções da 6.1 e da 7.0 para a falha de setembro | Não listadas ("serão adicionadas ao longo do tempo") |
| Comunicados públicos japoneses | Em 24 de outubro, nenhum alerta do JPCERT/CC ou do IPA encontrado |
Nenhuma lista de organizações que usam o VCO foi publicada, e este site não especula sobre usuários específicos.
Fontes
- Arista, "Security Advisory 0199" (CVE-2026-114625, 22 de outubro de 2026, revisão 1.0) — arista.com
- Arista, "Security Advisory 0183" (CVE-2026-93952, 22 de setembro de 2026, revisão 1.1) — arista.com
- Arista, "Security Advisory 0144" (CVE-2026-16812, 27 de julho de 2026, revisão 1.2) — arista.com
- CISA, "Known Exploited Vulnerabilities Catalog" (CVE-2026-114625) — cisa.gov
- NVD, "CVE-2026-114625" — nvd.nist.gov
Histórico de atualizações
2026-10-24: Primeira publicação, com base nos três comunicados da Arista (SA-0144, SA-0183, SA-0199) e no catálogo KEV da CISA.
Leia a seguir
- Proteção de dispositivos expostos à internet: Defesa de acesso remoto para appliances de VPN
- Priorização: Como decidir o que corrigir primeiro com CVSS, EPSS e KEV
- Verificação de comprometimento: Como verificar se o seu servidor foi invadido
- Outra falha urgente na mesma semana: PHP CVE-2026-109618 e CVE-2026-109619
- Termos: O que é injeção de SQL? / O que é CVSS?