Maximaler CVSS-Score Arista VeloCloud Orchestrator wird aktiv angegriffen

Eine kritische Schwachstelle im VeloCloud Orchestrator von Arista wird aktiv ausgenutzt und erlaubt Zugriff auf interne Funktionen des Hosts. Patches stehen bereit, betroffene Versionen sollten umgehend aktualisiert werden.

Eine Sicherheitslücke, die es Cyberangreifern ermöglicht, auf privilegierte interne Funktionen der On-Premises-Version des VeloCloud Orchestrator (VCO) zuzugreifen und den Host zu beeinträchtigen, wird aktiv ausgenutzt. Dabei handelt es sich um EUVD-2026-49334 / CVE-2026-16812 mit dem höchstmöglichen CVSS-Score von 10.0 und einem EPSS-Score^* von 0.98.

Der VeloCloud Orchestrator ist die Steuer‑ und Managementplattform für das SD-WAN-Angebot von Arista, die Edge‑Geräte und Gateways zentral konfiguriert, überwacht und Richtlinien durchsetzt. Arista Networks ist ein US‑Netzwerkhardware‑ und‑software‑Hersteller, der sich auf Hochleistungs‑Switches und Cloud‑Netzwerklösungen für Rechenzentren spezialisiert hat. Im Juli 2025 hat Arista die SD-WAN-Sparte VeloCloud von Broadcom übernommen, das sie wiederum durch die VMware-Übernahme erhalten hat.

Millionen Webseiten potenziell anfällig

Angreifer richten persistente Webshells über WordPress-Schwachstellen ein

Schutzmaßnahmen, IoCs und Patches

Am 27. Juli 2026 hat die CISA die Schwachstelle im VeloCloud Orchestrator On-Prem in ihren Katalog der bekannten, ausgenutzten Sicherheitslücken aufgenommen. Auch in seinem Security Advisory schreibt der Hersteller, dass er sich der aktiven Ausnutzung von EUVD-2026-49334 / CVE-2026-16812 bewusst ist. „Die betroffene Funktionalität war ausschließlich für den internen Gebrauch vorgesehen und nicht für den Fernzugriff gedacht“, heißt es darin. Das Problem sei von einer externen Stelle entdeckt worden.

Betroffen sind folgende Versionen:

• 7.0.0 <7.0.0.1

• 6.4.0 <6.4.2.4

• 6.1.0 <6.1.3.4

• 5.2.0 <5.2.3.14

Gepatch sind diese Versionen:

• VCO 5.2.3.14 und spätere Versionen der 5.2-Reihe

• VCO 6.1.3.4 und spätere Versionen der 6.1-Reihe

• VCO 6.4.2.4 und spätere Versionen der 6.4-Reihe

Für die Ausnutzung der Schwachstelle ist Arista zufolge ein Netzwerkzugriff auf die VCO-Weboberfläche erforderlich. Zugangsdaten für VCO-Mandanten oder -Betreiber seien wiederum nicht notwendig. Der Hersteller nennt foglende Maßnahmen, um das Risiko eines erfolgreichen Angriffs zu senken:

• Den Zugriff auf die VCO-Weboberfläche auf vertrauenswürdige Verwaltungsnetzwerke beschränken.

• Die Web-Zugriffsprotokolle des VCO auf unerwartete Aktivitäten hin überprüfen. Anfragen, die ungewöhnliche, URL-ähnliche Pfadbestandteile, kodierte Zeichen, Verweise auf lokale oder interne Dienste oder eine hohe Anfragerate aufweisen, sollten untersucht werden.

• Die folgenden IP-Adressen wurden für bisher beobachtete Angriffe genutzt: 8.19.75.217, 206.72.242.124 und 206.72.242.162. Diese sollten blockiert und die Protokolle auf entsprechende Einträge überprüft werden.

Zudem sollten die Backend-Anwendungsprotokolle und Systemprotokolle des VCO auf Aktivitäten im gleichen Zeitrahmen geprüft werden. Folgende Punkte könnten dafür relevant sein:

• Eingehende Anfragen an das VCO von bekannten schädlichen IP-Adressen

• Unerwartete ausgehende HTTP- oder HTTPS-Aktivitäten, die vom VCO-Host ausgehen

• Sensible Konfigurationsänderungen, die nicht auf Administratoraktivitäten zurückzuführen sind

• Privilegierte Wartungsmaßnahmen, die nicht mit erwarteten administrativen Arbeitsabläufen in Verbindung stehen

• Unerwartete Befehlsausführungen, Dateierstellungen, Datenbankexporte oder Archivartefakte auf dem VCO-Host

• Unerwartete Zugriffe auf VCO-Datenbankinhalte, Konfigurationsdaten, Geräteinventar, Zugangsdaten, Zertifikate oder Schlüsselmaterial

Arista empfiehlt, die Patches sobald wie möglich zu installieren. Kunden, deren VCOs sich nicht auf einem unterstützten Release-Pfad befinden, können sich an das TAC wenden, um mögliche Upgrade-Optionen für ihre Version zu besprechen.

* Hinweis zum EPSS-Score: Das Exploit Prediction Scoring System zeigt die Wahrscheinlichkeit in Prozent an, mit der eine Schwachstelle innerhalb der nächsten 30 Tage ausgenutzt wird. Der ent­sprechende Score kann sich im Laufe der Zeit verändern. Sofern nicht anders angegeben, beziehen wir uns auf den Stand des EPSS-Scores zum Zeitpunkt der Veröffentlichung des Artikels.

Memory Corruption

NetWeaver-Schwachstelle führt zu Speicherbeschädigung und schlimmer

(ID:50913723)