En bref
- Le fait. Le 22 octobre 2026, Arista a publié l'avis de sécurité 0199 pour une faille critique de VeloCloud Orchestrator (VCO), la console qui sert à configurer et superviser les réseaux SD-WAN VeloCloud (produit autrefois commercialisé par Broadcom). Toute personne disposant d'un compte, même en simple lecture, peut obtenir les droits les plus élevés sur la console et agir sur le serveur qui l'héberge. Arista indique que la faille est activement exploitée.
- Êtes-vous concerné ? Ce billet concerne surtout les entreprises qui exploitent un orchestrateur installé sur leurs propres sites (sur site), ou dont l'opérateur ou le prestataire réseau en exploite un. Il concerne très peu celles qui utilisent le service hébergé par l'éditeur ou qui n'ont pas cet équipement. Les consoles hébergées par Arista, y compris dédiées, sont déjà corrigées. Les boîtiers VeloCloud Edge et Gateway ne sont pas concernés.
- Quoi faire :
- si vous utilisez un réseau SD-WAN VeloCloud, demandez à votre prestataire si la console est hébergée par Arista ou installée chez lui ou chez vous ;
- si elle est installée sur site, faites-la mettre à jour sans attendre en 5.2.3.18, 6.1.3.10 ou 6.4.2.12 (ou plus récent) ;
- en attendant, faites limiter l'accès à l'interface web de la console aux seuls réseaux d'administration et vérifier les journaux.
- Urgence : critique. La faille est exploitée et Arista recommande la mise à jour au plus tôt.
Détail technique
Identifiants. CVE-2026-114625, injection SQL (CWE-89), notée 9.9 en CVSS v3.1 et 9.4 en CVSS v4.0 par Arista. Avis GitHub GHSA-964w-6mm5-rm95. Pas d'avis CERT-FR à la date de rédaction (23 octobre 2026).
Impact. Sur une console vulnérable, un utilisateur authentifié peut obtenir les privilèges d'opérateur et se faire passer pour l'opérateur local « superuser », avec accès à des fonctions internes qui ne devraient pas être joignables à distance. La confidentialité, l'intégrité et la disponibilité de la console et des données qu'elle gère peuvent être compromises.
Conditions. Un accès réseau à l'interface web de la console et une session valide suffisent ; le rôle minimal requis est « Enterprise Read Only », le plus faible des rôles intégrés. Arista précise qu'aucune configuration ne supprime l'exposition. Les versions en fin de support n'ont pas été évaluées : le support Arista (TAC) peut être sollicité pour les options de mise à jour.
Exploitation et KEV. Arista indique avoir détecté la faille et qu'elle est activement exploitée. La CVE ne figure pas au catalogue KEV de la CISA à la date de rédaction (version du catalogue du 21 octobre 2026). Selon BleepingComputer, c'est la quatrième faille exploitée corrigée par Arista en 2026 sur ses produits EOS et VeloCloud Orchestrator.
Mesures en attendant la mise à jour (avis Arista). Restreindre l'accès à l'interface web aux réseaux d'administration de confiance, surveiller les connexions depuis les adresses malveillantes connues et les flux sortants inattendus depuis le serveur VCO, bloquer les ports sortants inutiles, rechercher d'éventuels services persistants ou webshells, et revoir l'activité récente des administrateurs.
Indicateurs de compromission. Arista publie dans son avis deux adresses IP observées lors des attaques, à bloquer et à rechercher dans les journaux, ainsi que les motifs de requêtes à examiner dans les journaux d'accès web. En cas de suspicion, Arista recommande de conserver les journaux web, applicatifs, système et de base de données, ainsi que les horodatages du système de fichiers, avant toute remise en état.