VeloCloud Orchestrator הוא מערכת הניהול המרכזית של Arista, ובגרסאות שארגון מתקין על שרת שלו יש חולשה שמאפשרת לכל משתמש שיש לו חשבון במערכת להעלות את עצמו להרשאות operator. הציון הוא 9.4 מתוך 10 בסולם CVSS 4.0, וב-23 באוקטובר 2026 הוסיפה CISA את החולשה לקטלוג החולשות שמנוצלות בפועל. הגרסאות המתקנות הן 5.2.3.18, 6.1.3.10 ו-6.4.2.12, אחת לכל ענף.

מה החולשה?

כל מערכת ניהול מחזיקה רשומות של מי מורשה לעשות מה, ושואלת את מסד הנתונים שלה בכל פעם שמשתמש מבקש משהו. כשהמערכת בונה את השאילתה הזאת מתוך קלט שהגיע מהמשתמש עצמו, בלי להפריד בין הקלט לבין הפקודה, המשתמש יכול לתפור לתוך השאילתה תוספת משלו ולשנות את מה שהיא בעצם שואלת. הסיווג הרשמי של הכשל כאן הוא CWE-89, כלומר SQL Injection, הזרקה של פקודות מסד נתונים דרך קלט שלא סונן כראוי.

הרשומה אינה מתארת את הצעד הטכני עצמו אלא את התוצאה, והיא חדה: במערכת פגיעה כל משתמש מאומת יכול לקבל הרשאות operator ולהתחזות למשתמש superuser operator מקומי. בכלל זה גישה לפונקציות שנכתבו לשימוש פנימי של המוצר ולא נועדו להיות נגישות מרחוק כלל.

ההבדל בין חשבון רגיל לחשבון superuser במערכת כזאת הוא ההבדל בין לראות מה קורה לבין לשנות את מה שקורה. הדירוג מסמן פגיעה גבוהה בסודיות, בשלמות ובזמינות, ומסמן אותה פעמיים: גם במערכת עצמה וגם במה שמעבר לה, כלומר ב-host שעליו ה-Orchestrator מותקן. הרשומה אומרת את זה במילים שלה, שניצול מוצלח עלול לפגוע ב-host של ה-VCO ובנתונים שהמערכת מנהלת. כלומר הנזק אינו נעצר בגבול היישום.

ושווה לדייק מה התוקף צריך בשביל זה. לפי הדירוג הוא צריך חשבון במערכת, אבל הרשאות נמוכות מספיקות, אין צורך בשיתוף פעולה של מישהו אחר, והכול עובר דרך הרשת. חשבון בדרג הנמוך ביותר הוא כל מה שנדרש.

מי מושפע?

הרשומה מגדירה את הטווח לפי שלושה ענפי גרסאות: מ-5.2.0 ולפני 5.2.3.18, מ-6.1.0 ולפני 6.1.3.10, ומ-6.4.0 ולפני 6.4.2.12. לכל ענף תיקון נפרד, ולכן אין כאן מספר אחד לזכור.

ההבחנה החשובה כאן היא דווקא לא הגרסה אלא סוג ההתקנה. החולשה נוגעת להתקנות on-prem, כלומר כאלה שרצות על שרת של הארגון. על הגרסאות ה-Hosted, כולל Dedicated, הרשומה אומרת שהיצרן כבר תיקן אותן, כך שמי שצורך את המוצר כשירות מנוהל אינו צריך לעשות דבר.

זה אינו מוצר שנמצא בבית ולא כזה שמגיע עם מחשב או טלפון. מדובר במערכת ניהול שארגון מתקין ומתחזק בעצמו, ובישראל הקהל שלה מצומצם ומקצועי. אם אתם לא יודעים אם היא מותקנת אצלכם, כמעט בוודאות היא לא. מה שכן, דווקא במערכות מהסוג הזה חשבונות מוחזקים לא רק בידי עובדי הארגון אלא גם בידי מי שמתחזק אותן מבחוץ, וכל חשבון כזה מספיק כדי לנצל את החולשה.

האם מנוצלת בפועל?

כן. ב-23 באוקטובר 2026 הוסיפה CISA, סוכנות הסייבר האמריקאית, את החולשה לקטלוג ה-KEV שלה, הרשימה שבה היא מרכזת חולשות שיש עדות לשימוש אמיתי בהן בשטח. הוספה לקטלוג אינה תחזית ואינה הערכת סיכון, אלא קביעה שמישהו כבר השתמש בזה.

לגופים הפדרליים בארצות הברית נקבע מועד תיקון מחייב, 26 באוקטובר 2026. שלושה ימים אחרי ההוספה לקטלוג. הרשומה עצמה פורסמה ב-NVD רק יום לפני ההוספה, ב-22 באוקטובר 2026, כך שכל הרצף הזה נדחס לתוך פחות משבוע.

מה שהקטלוג אינו אומר זה מי התוקפים וכמה מערכות נפגעו. הודעת האבטחה של Arista היא המקום שבו מופיעים פרטי הגרסאות והתיקונים.

מה עושים?

1. בררו קודם איזו התקנה יש לכם. אם ה-Orchestrator מגיע אליכם כשירות מנוהל, Hosted או Dedicated, היצרן כבר תיקן ואין מה לעשות מצידכם. אם הוא רץ על שרת שלכם, המשיכו לסעיף הבא.

2. בדקו את מספר הגרסה והשוו לענף שלכם: בענף 5.2 נדרש 5.2.3.18 ומעלה, בענף 6.1 נדרש 6.1.3.10 ומעלה, ובענף 6.4 נדרש 6.4.2.12 ומעלה. כל גרסה שמתחת למספרים האלה, מ-5.2.0, מ-6.1.0 או מ-6.4.0 ואילך, חשופה.

3. עדכנו לפי הודעת האבטחה של Arista, שבה מופיע התיקון לכל אחד משלושת הענפים.

4. אל תעצרו בעדכון. מכיוון שהחולשה מנוצלת בפועל, עברו על רשימת חשבונות ה-operator במערכת וחפשו חשבון שלא אתם יצרתם או הרשאות שעלו בלי שמישהו ביקש. בדקו בלוגים אם היו פניות לפונקציות ניהול מחשבונות שאין להם סיבה להגיע לשם. אם מצאתם משהו, החליפו את פרטי האימות של כל המשתמשים במערכת.

5. עד שהעדכון מותקן, הגבילו את הגישה לממשק של ה-Orchestrator לרשת פנימית או ל-VPN. זה אינו מתקן את החולשה, אבל הניצול דורש להגיע לממשק עם חשבון, וצמצום מי שיכול להגיע אליו מצמצם את מי שיכול לנסות.