החשבון החלש ביותר ב-VeloCloud Orchestrator נקרא Enterprise Read Only, והוא נועד לצפייה בלבד. לפי Arista, הוא כל מה שצריך כדי לקבל הרשאות operator ולהתחזות למשתמש superuser operator מקומי. CVE-2026-114625 בציון 9.4 היא החולשה השלישית באותו מוצר שנוצלת בפועל מאז יולי, והראשונה שדורשת בכלל חשבון.

סקירה כללית

VeloCloud Orchestrator, או VCO בקצרה, הוא לוח הבקרה של רשת SD-WAN: ארכיטקטורה שמחברת סניפים מרוחקים דרך האינטרנט במקום קווים ייעודיים. דרכו שולטים בהתקני הקצה שבשטח, ולכן מי שמשתלט עליו לא קיבל שרת אחד אלא את הרשת שמתחתיו.

כשהמערכת בונה שאילתה למסד הנתונים מתוך טקסט שהמשתמש שלח, בלי להפריד בין הטקסט לבין הפקודה, המשתמש יכול לתפור לתוכה תוספת משלו ולשנות את מה שהיא שואלת. לכשל הזה קוראים SQL Injection, והסיווג הרשמי כאן הוא CWE-89. באיזה שדה זה קורה Arista לא פרסמה.

שלוש הרשומות, מיולי, מספטמבר ומאוקטובר, נפתחות באותו משפט בדיוק: תוקף מרוחק מגיע לפונקציות ניהול פנימיות שלא נועדו להיות נגישות מרחוק, ופוגע ב-host שעליו ה-Orchestrator יושב. אותו שטח תקיפה, שלוש פעמים.

מזהה: CVE-2026-114625
סוג: SQL Injection (CWE-89)
מוצר: Arista VeloCloud Orchestrator (VCO), on-prem
גרסאות מושפעות: מ-5.2.0 ולפני 5.2.3.18, מ-6.1.0 ולפני 6.1.3.10, מ-6.4.0 ולפני 6.4.2.12
גרסה מתוקנת: 5.2.3.18, 6.1.3.10, 6.4.2.12
ניצול בפועל: כן, ברשימת ה-KEV של CISA מ-23 באוקטובר 2026

ציר זמן

27 ביולי ו-22 בספטמבר 2026: CVE-2026-16812 בציון 10.0 ו-CVE-2026-93952 בציון 9.5 מתפרסמות ונכנסות ל-KEV, כל אחת ביום פרסומה. שתיהן אותרו מחוץ לחברה.
22 באוקטובר 2026: Arista מפרסמת את Security Advisory 0199 ומקצה את CVE-2026-114625, והפעם לפי ההודעה היא זו שאיתרה את הניצול.
23 באוקטובר 2026: CISA מוסיפה את החולשה לקטלוג ה-KEV, עם מועד תיקון מחייב לרשויות הפדרליות ב-26 באוקטובר.

איך הניצול עובד

התוקף צריך חשבון, ולא חשבון מנהל. לפי Arista די בתפקיד Enterprise Read Only, זה שנועד ללקוח שרק מסתכל. מתוך ההרשאה הזאת הוא שולח לממשק הווב בקשה שמנצלת את חולשת ה-SQL Injection, והשאילתה שמגיעה למסד הנתונים אינה זו שהמערכת התכוונה. מה שהיצרן מתאר בסוף אינו קריאת נתונים אלא החלפת זהות: החשבון מקבל הרשאות operator ומגיע לאותן פונקציות פנימיות, והנזק אינו נעצר ביישום.

ומי בכלל מחזיק חשבונות כאלה? בפריסת SD-WAN מנוהלת זה בדיוק החשבון שמחלקים ללקוח, לספק השירות ולמי שמנטר את הרשת מבחוץ. ממשק הווב של ה-VCO, מוסיפה Arista, חשוף כברירת מחדל ואין הגדרה שמונעת את זה.

ניתוח ציון ה-CVSS

ציון CVSS: 9.4

הציון ירד מ-10.0 ביולי ומ-9.5 בספטמבר מסיבה אחת, שהפעם צריך להתחבר. וזה כמעט לא מנחם: ההרשאה הנדרשת היא הנמוכה ביותר שהמוצר מציע, התקיפה מגיעה ברשת, ואף אחד לא צריך ללחוץ על כלום.

איפה למצוא Proof of Concept (PoC)

אין PoC ציבורי, ו-Arista לא פרסמה את הפרט הטכני. ההפניה השימושית היא הודעת האבטחה של Arista, Security Advisory 0199, שבה שתי כתובות ה-IP שמהן נצפו התקיפות, 74.82.197.86 ו-38.54.50.151, ובקשה לחפש בלוגים תווים מקודדים והפניות לשירותים פנימיים.

מועד התיקון המחייב שקבעה CISA חל ב-26 באוקטובר, וארגון שעדכן בספטמבר בלבד, ל-5.2.3.16 או ל-6.4.2.8, עדיין בטווח.