Для кого эта статья: сетевые команды и команды безопасности, которые запускают платформу управления SD-WAN от Arista, VeloCloud Orchestrator (VCO), на собственной инфраструктуре. Страница основана на бюллетенях безопасности Arista и публичных данных CISA. Здесь не описано, как проводятся атаки.
Ситуация развивается: страница будет обновляться по мере новых публикаций
По состоянию на 03:45 UTC, 24 октября 2026 годаПока неизвестно
- Когда началась эксплуатация и кто за ней стоит
- Почему ветка 7.0 не указана и есть ли исправления 7.0 для июльской и сентябрьской уязвимостей
- Исправленные выпуски для сентябрьской уязвимости (CVE-2026-93952) в ветке 6.1
- Бюллетени японских государственных организаций (JPCERT/CC, IPA)
Arista опубликовала бюллетень безопасности 0199 (редакция 1.0) 22 октября, а CISA добавило уязвимость в KEV 23 октября. Ни та, ни другая сторона не сообщили, когда началась эксплуатация и кто за ней стоит. Ни бюллетень, ни запись в KEV не упоминают публичный эксплойт-код. Страница будет обновлена при пересмотре бюллетеня.
Что сделать сегодня (on-prem VCO)
Проверьте версию и выберите целевой выпуск
Проверьте версию VCO и выберите по таблице ниже выпуск для перехода. Исправления для этой уязвимости (5.2.3.18, 6.1.3.10, 6.4.2.12) новее исправлений июля и сентября. Обновиться нужно ещё раз, даже если вы их уже установили.
Сохраните журналы и временные метки файлов до обновления
При подозрении на компрометацию Arista просит операторов до исправления сохранить журналы веб-доступа VCO, журналы серверного приложения, системные журналы, журналы базы данных и соответствующие временные метки файловой системы. Скопируйте их в другое место, пока обновление или пересборка их не перезаписали.
Обновитесь до исправленного выпуска
Перейдите на последний исправленный выпуск своей ветки. В этом бюллетене сказано, что выпуски, не указанные в списке, не уязвимы, а 7.0 в списке нет. Поскольку исправлений 7.0 для июльской и сентябрьской уязвимостей тоже нет в списках, уточните у Arista TAC (Technical Assistance Center) — это рекомендация нашего сайта, а не бюллетеня. Версии с завершённой поддержкой не оценивались.
Ограничьте доступ к интерфейсу управления
Arista сообщает, что VCO по умолчанию доступен извне и что никакая настройка не может предотвратить эту доступность. Используйте межсетевой экран перед VCO, чтобы ограничить доступ к веб-интерфейсу доверенными административными сетями. Прежде чем ужесточать правила, уточните, какие соединения нужны для работы, например подключения устройств VeloCloud Edge к VCO.
Проверьте признаки компрометации
Выполните проверки из раздела ниже. Arista не сообщила, когда началась эксплуатация, поэтому смотрите так далеко назад, как позволяют сохранённые журналы. В бюллетене также приведены адреса источников, замеченные в атаках. Откройте бюллетень Arista и сравните этот список со своими журналами.
Проверьте учётные записи
Эту уязвимость можно эксплуатировать с самой низкой встроенной ролью арендатора, Enterprise Read Only. Отключите неиспользуемые учётные записи, записи бывших сотрудников или подрядчиков и общие учётные записи, а для оставшихся проверьте пароли.
Исправленные выпуски по веткам (три бюллетеня рядом)
В каждом бюллетене указаны свои исправленные выпуски. Чтобы выбрать одну цель для каждой ветки, этот сайт свёл три бюллетеня Arista вместе.
| Ветка | Июль: CVE-2026-16812 (SA-0144) | Сентябрь: CVE-2026-93952 (SA-0183) | Октябрь: CVE-2026-114625 (SA-0199) | Цель |
|---|---|---|---|---|
| 5.2 | Исправлено в 5.2.3.14 и новее | Исправлено в 5.2.3.16 и новее | Исправлено в 5.2.3.18 и новее | 5.2.3.18 или новее |
| 6.1 | Исправлено в 6.1.3.4 и новее | Затронуты: 6.1.3.7 и ниже. Исправление для 6.1 не указано | Исправлено в 6.1.3.10 и новее | 6.1.3.10 или новее (по сентябрьской уязвимости уточните у Arista TAC) |
| 6.4 | Исправлено в 6.4.2.4 и новее | Исправлено в 6.4.2.8 и новее | Исправлено в 6.4.2.12 и новее | 6.4.2.12 или новее |
| 7.0 | Затронуты: до 7.0.0.1. Исправление для 7.0 не указано | Затронуты: 7.0.0.2 и ниже. Исправление для 7.0 не указано | Не указана (в бюллетене сказано, что выпуски вне списка не уязвимы) | Уточните у Arista TAC (исправлений 7.0 для июля и сентября в списках нет) |
| Завершённая поддержка | Не оценивалось | Обратитесь в TAC | Не оценивалось | Уточните у Arista TAC |
В сентябрьском бюллетене (SA-0183) сказано, что исправления для других веток «будут добавляться со временем» (редакция 1.1, проверено 24 октября).
Июль SA-0144
Исправлено в 5.2.3.14
Сентябрь SA-0183
Исправлено в 5.2.3.16
Октябрь SA-0199
Исправлено в 5.2.3.18 (переходите сюда)
Что раскрыла Arista
- CVE
- CVE-2026-114625
- Тип
- SQL-инъекция (CWE-89)
- Критичность
- CVSS v4.0 9.4, v3.1 9.9 (оценки Arista, которые указывает и NVD)
- Последствия
- Любой аутентифицированный пользователь может получить права оператора и выдать себя за локального «оператора-суперпользователя». Это даёт удалённый доступ к внутренним функциям и может нарушить конфиденциальность, целостность и доступность оркестратора и управляемых им данных
- Условия
- Сетевой доступ к веб-интерфейсу VCO и действующий аутентифицированный сеанс. Минимальная роль — Enterprise Read Only, самая низкая встроенная роль арендатора. VCO по умолчанию доступен извне, и никакая настройка не предотвращает эту доступность
- Затронуты
- VeloCloud Orchestrator On-Prem: 5.2.x до 5.2.3.18, 6.1.x до 6.1.3.10, 6.4.x до 6.4.2.12. Ветка 7.0 не указана; в бюллетене сказано, что выпуски вне списка не уязвимы. Версии с завершённой поддержкой не оценивались
- Не затронуты
- VeloCloud Edge, VeloCloud Gateway, продукты Arista на базе EOS и другие
- Hosted
- Hosted VCO, включая Dedicated, был затронут и уже обновлён
- Эксплуатация
- Обнаружена Arista и «известно, что активно эксплуатируется»
CISA добавило CVE-2026-114625 в KEV 23 октября и установило срок 26 октября для федеральных агентств США. В записи KEV отмечено, что требуется криминалистическая сортировка (forensic triage). Известное использование в атаках с программами-вымогателями указано как «Unknown».
Три эксплуатируемые уязвимости за три месяца
27 июля 2026 года
Arista раскрывает CVE-2026-16812 (внедрение команд ОС, CVSS 10.0) в SA-0144. Вход в систему не нужен. Обнаружена внешней стороной, известно об эксплуатации. CISA добавляет её в KEV в тот же день (срок 30 июля).3 августа
SA-0144 пересмотрен: Hosted VCO добавлен в список затронутых платформ.22 сентября
Arista раскрывает CVE-2026-93952 (неправильная проверка входных данных, CVSS v3.1 10.0, v4.0 9.5) в SA-0183. Вход в систему не нужен. Применимо, если настроена аутентификация по сертификатам от VeloCloud Edge к VCO. Обнаружена внешней стороной, известно об эксплуатации. CISA добавляет её в KEV в тот же день (срок 25 сентября).22 октября
Arista раскрывает CVE-2026-114625 (SQL-инъекция, CVSS v4.0 9.4) в SA-0199; обнаружена самой Arista, известно об эксплуатации.23 октября
CISA добавляет её в KEV (срок 26 октября).
Июльская и сентябрьская уязвимости не требуют входа в систему; октябрьская требует. Типы ошибок различаются, но все три бюллетеня описывают один и тот же результат: удалённый доступ к внутренним функциям, который может повлиять на хост VCO. Во всех трёх перечислены общие временные меры, например ограничение веб-интерфейса административными сетями.
Как проверить компрометацию (по бюллетеням)
Сохраните доказательства до исправления
Arista просит операторов, подозревающих компрометацию, сохранить журналы веб-доступа VCO, журналы серверного приложения, системные журналы, журналы базы данных и соответствующие временные метки файловой системы до исправления, если это возможно по условиям эксплуатации. Если сначала обновиться или пересобрать систему, вы уничтожите данные, нужные для расследования.
| Где смотреть | Что проверять (по бюллетеню) |
|---|---|
| Журналы веб-доступа | Необычные URL-подобные компоненты пути, закодированные символы, обращения к локальным или внутренним службам, высокая частота запросов |
| Адреса источников | Соединения с источниками атак, перечисленными в бюллетене (проверьте список в бюллетене Arista) |
| Исходящий трафик с VCO | Неожиданные исходящие соединения. Рассмотрите блокировку исходящих портов, не нужных для обычной работы |
| На хосте | Бэкдор-демоны и веб-шеллы |
| Действия администраторов | Недавние изменения, которые никто из вашей команды не вносил |
Июльский (SA-0144) и сентябрьский (SA-0183) бюллетени добавляют: изменения чувствительной конфигурации, не связанные с работой администраторов; неожиданное выполнение команд, создание файлов, экспорт или архивы базы данных; неожиданный доступ к содержимому базы данных, конфигурации, перечню устройств, учётным данным, сертификатам или ключам. SA-0183 также перечисляет конкретные артефакты в файлах и журналах. Если вы их найдёте, Arista просит сохранить состояние VCO и обратиться в Arista TAC.
Если вы обнаружили компрометацию
Июльский и сентябрьский бюллетени перечисляют шаги после устранения. Они предупреждают, что скомпрометированный VCO может дать злоумышленникам доступ и к устройствам VeloCloud Edge.
- Смените учётные данные
- Проверьте действия администраторов
- Проверьте состояние управляемых устройств (Edge)
- Восстановите или замените оркестратор из доверенных источников
Мнение этого сайта: держите плоскости управления вне интернета
В VCO управляется конфигурация SD-WAN-устройств каждого филиала. В бюллетенях самой Arista сказано, что скомпрометированный VCO может открыть доступ к управляемым им устройствам Edge.
Все три бюллетеня требуют сетевого доступа к веб-интерфейсу VCO. В двух из них, июльском и октябрьском, сказано, что VCO по умолчанию доступен извне и что никакая настройка не предотвращает эту доступность. Пока оператор не ограничит доступ на сетевом уровне, следующая уязвимость начнётся с той же открытой позиции. При темпе три уязвимости за три месяца одного ожидания каждого исправления недостаточно.
Практики, которые оставляют вас уязвимыми к следующей уязвимости
- Интерфейс управления доступен отовсюду из интернета
- Работа прекращается после установки патча
- Учётные записи только для чтения не трогают, потому что они «ничего не могут»
- Исходящий трафик с VCO не ограничен
Практики, которые ограничивают последствия следующей уязвимости
- Интерфейс управления доступен только из административной сети или по VPN
- Журналы сохраняются и проверяются на признаки компрометации при каждом обновлении
- Учётные записи регулярно проверяются, неиспользуемые отключаются
- Исходящий трафик с VCO ограничен нужными для работы адресами
Та же картина постоянно повторяется с интерфейсами управления VPN и межсетевых экранов. О том, как найти и защитить интерфейсы управления, доступные из интернета, см. защиту удалённого доступа для VPN-устройств. О том, почему записи KEV переходят в начало очереди, см. как решать, что обновлять первым, по CVSS, EPSS и KEV.
Что пока неизвестно
| Пункт | Статус |
|---|---|
| Активная эксплуатация | Подтверждена (Arista, CISA) |
| Когда началась эксплуатация и кто за ней стоит | Не сообщается |
| Число затронутых организаций | Не сообщается |
| Публичный эксплойт-код | Не сообщается (бюллетень и KEV) |
| Почему ветка 7.0 не указана | Не сообщается (в бюллетене сказано, что выпуски вне списка не уязвимы) |
| Исправления 6.1 и 7.0 для сентябрьской уязвимости | Не указаны («будут добавляться со временем») |
| Японские государственные бюллетени | На 24 октября оповещений JPCERT/CC или IPA не найдено |
Список организаций, использующих VCO, не опубликован, и этот сайт не гадает о конкретных пользователях.
Источники
- Arista, «Security Advisory 0199» (CVE-2026-114625, 22 октября 2026 года, редакция 1.0) — arista.com
- Arista, «Security Advisory 0183» (CVE-2026-93952, 22 сентября 2026 года, редакция 1.1) — arista.com
- Arista, «Security Advisory 0144» (CVE-2026-16812, 27 июля 2026 года, редакция 1.2) — arista.com
- CISA, «Known Exploited Vulnerabilities Catalog» (CVE-2026-114625) — cisa.gov
- NVD, «CVE-2026-114625» — nvd.nist.gov
История обновлений
2026-10-24: первая публикация на основе трёх бюллетеней Arista (SA-0144, SA-0183, SA-0199) и каталога KEV от CISA.
Читайте также
- Защита устройств, доступных из интернета: Защита удалённого доступа для VPN-устройств
- Приоритизация: Как решать, что обновлять первым, по CVSS, EPSS и KEV
- Проверка на компрометацию: Как проверить, взломан ли ваш сервер
- Ещё одна срочная уязвимость на той же неделе: PHP CVE-2026-109618 и CVE-2026-109619
- Термины: Что такое SQL-инъекция? / Что такое CVSS?