Arista, saldırılarda istismar edilen VeloCloud Orchestrator sıfırıncı gün açığını kapattı

Arista, VeloCloud SD-WAN ürün ailesinin merkezi yönetim sistemi olan VeloCloud Orchestrator'da (VCO) sıfırıncı gün olarak saldırılarda istismar edilen kritik bir SQL enjeksiyonu açığını kapattı. The Hacker News'in aktardığına göre CVE-2026-114625 koduyla izlenen açık CVSS ölçeğinde 9.9 puan aldı ve orkestratöre oturum açabilen herhangi bir kullanıcının operatör yetkisi kazanmasına imkân veriyor. Şirket bunu, saldırganın yerel bir "süper kullanıcı operatör" hesabı gibi davranabilmesi olarak tanımlıyor. 24838 numaralı güvenlik bülteni (0199) 22 Ekim'de yayımlandı.

Neler oldu?

BleepingComputer'ın haberine göre Arista, açığın aktif olarak istismar edildiğini, saldırıların düşük karmaşıklıkta olduğunu ve kullanıcı etkileşimi gerektirmediğini açıkladı. The Hacker News, şirketin saldırıların ne zaman başladığını, hangi kurumların etkilendiğini ya da saldırganların erişim sağladıktan sonra ne yaptığını belirtmediğini aktardı. Açığı kimin bulduğu da açıklanmadı.

BleepingComputer, bunun Arista'nın bu yıl yamaladığı aktif istismar edilen dördüncü sıfırıncı gün açığı olduğunu hatırlattı. The Hacker News'e göre ise bu, temmuz sonundan bu yana istismar edildiği bildirilen üçüncü VCO açığı. Temmuzdaki CVE-2026-16812 ve eylüldeki CVE-2026-93952'nin ardından gelen yeni açık, üçü arasında oturum açmayı gerektiren ilk açık.

Teknik detaylar

The Hacker News'in aktardığına göre istismar için orkestratörün web arayüzüne ağ erişimi ve geçerli bir oturum yeterli. Gereken en düşük rol, müşteri kullanıcıları için tanımlı en alt yerleşik rol olan Enterprise Read Only. Başarılı bir istismarla saldırgan tam süper kullanıcı yetkisiyle hareket edebiliyor; VCO sunucusunun kendisini etkileyip orkestratörü ve yönettiği verileri açığa çıkarabiliyor, değiştirebiliyor ya da işleyişini bozabiliyor. Yayın, VCO web arayüzünün varsayılan olarak erişime açık olduğuna da dikkat çekti.

Arista önceki VCO açıklarında ele geçirilen bir orkestratörün VeloCloud Edge cihazlarına erişim sağlayabileceği uyarısında bulunmuştu. The Hacker News'e göre yeni bültende bu riskin geçerli olup olmadığı ve güncellemenin saldırganın önceden elde ettiği erişimi kaldırıp kaldırmadığı belirtilmiyor.

Kimler etkileniyor?

Etkilenen ürün şirket içi (on-prem) VeloCloud Orchestrator. Düzeltilmiş sürümler 5.2.3.18, 6.1.3.10 ve 6.4.2.12 ile sonrası. The Hacker News'e göre barındırılan (hosted) ve özel (dedicated) orkestratörler zaten yamalandı; VeloCloud Gateway, VeloCloud Edge ve 7.0 serisi etkilenenler arasında yer almıyor. Temmuz ve eylül açıkları için güncellenen orkestratörler de, o sürümler yeni düzeltmelerden önce çıktığı için hâlâ savunmasız. Arista destek süresi dolmuş sürümleri incelemediğini belirterek bu müşterilerin Teknik Destek Merkezi (TAC) ile iletişime geçmesini öneriyor.

Ne yapmalı?

Yöneticilerin şirket içi orkestratörleri vakit kaybetmeden düzeltilmiş sürümlere yükseltmesi gerekiyor. Arista, yama uygulanana kadar VCO web arayüzüne erişimin güvenilir yönetim ağlarıyla sınırlandırılmasını, VCO sunucusundan beklenmeyen giden trafiğin izlenmesini, arka kapı servisleri ve web kabuklarının aranmasını ve son yönetici işlemlerinin gözden geçirilmesini öneriyor. Şirketin paylaştığı iki saldırgan IP adresi, 74.82.197[.]86 ve 38.54.50[.]151, engellenmeli ve kayıtlarda aranmalı. Web erişim kayıtlarında olağandışı URL benzeri yol bileşenleri, kodlanmış karakterler, yerel veya iç servislere yapılan atıflar ve yüksek istek hızları da incelenmeli. Ele geçirilme şüphesi varsa, düzeltme öncesinde web, uygulama, sistem ve veritabanı kayıtları ile dosya sistemi zaman damgaları korunmalı.