Arista warnt vor CVE-2026-114625, einer aktiv ausgenutzten SQL-Injection-Schwachstelle in VeloCloud Orchestrator On-Prem. Am 23. Oktober nahm die US-Cybersicherheitsbehörde CISA die Lücke in ihren Katalog der bereits ausgenutzten Schwachstellen auf. Für betroffene On-Prem-Instanzen ist das kein Fall für den nächsten regulären Wartungstermin: Version und Zugriffspfad sollten jetzt geprüft und der feste Patchstand zeitnah eingespielt werden.
Besonders relevant: Für den Angriff muss zwar eine gültige Sitzung vorliegen, jedoch reicht laut Arista bereits die niedrigste eingebaute Mandantenrolle Enterprise Read Only. Auf einem verwundbaren System kann ein solcher Benutzer Operator-Rechte erlangen und sich als lokaler Superuser-Operator ausgeben.
- Aktive Ausnutzung ist bestätigt: Arista führt die Lücke als aktiv ausgenutzt; CISA nahm sie am 23. Oktober in den KEV-Katalog auf.
- Betroffen ist VeloCloud Orchestrator On-Prem: die Züge 5.2.x vor
5.2.3.18, 6.1.x vor6.1.3.10und 6.4.x vor6.4.2.12. - Eine Read-Only-Rolle schützt nicht: Der dokumentierte Angriff benötigt eine gültige VCO-Sitzung, aber mindestens nur die Rolle Enterprise Read Only.
- Patchen ist die dauerhafte Abhilfe: Zugriffsbeschränkungen und Monitoring reduzieren das Risiko bis dahin, beseitigen die Schwachstelle aber nicht.
- Bei Auffälligkeiten zuerst Beweise sichern: Arista empfiehlt, relevante Web-, Backend-, System- und Datenbanklogs vor einer Bereinigung zu bewahren, soweit betrieblich möglich.
Was ist passiert?
Arista veröffentlichte am 22. Oktober 2026 Security Advisory 0199 für CVE-2026-114625. Die Schwachstelle ist als SQL Injection klassifiziert und erhielt einen CVSS-v3.1-Basiswert von 9,9. Einen Tag später ergänzte CISA den Eintrag in den Known Exploited Vulnerabilities Catalog. Eine KEV-Aufnahme bedeutet: Für die Schwachstelle liegen der Behörde belastbare Hinweise auf Ausnutzung vor.
Der VeloCloud Orchestrator ist die zentrale Management-Komponente einer SD-WAN-Umgebung. Bei erfolgreicher Ausnutzung können laut Arista Vertraulichkeit, Integrität und Verfügbarkeit des Orchestrators und seiner verwalteten Daten beeinträchtigt werden. Die Lücke verschafft Zugriff auf privilegierte interne Funktionen, die nicht für den Fernzugriff vorgesehen sind.
KEV ist ein Prioritätssignal, kein bloßes CVE-Register.
Die von CISA für US-Bundesbehörden genannte Frist bis 26. Oktober 2026 ist nicht automatisch eine Frist für deutsche Unternehmen. Sie unterstreicht aber die operative Dringlichkeit: Exponierte, bereits aktiv angegriffene Management-Systeme gehören in die oberste Patch-Priorität.
Wer muss jetzt handeln?
Prüfen sollten Betreiber von VeloCloud Orchestrator On-Prem und Teams, die VCO für sie betreiben. Maßgeblich ist die tatsächlich installierte VCO-Release-Version, nicht allein die Hardware oder der Name eines verbundenen SD-WAN-Produkts. Arista nennt folgende verwundbare Bereiche:
- VCO 5.2.x vor Version
5.2.3.18 - VCO 6.1.x vor Version
6.1.3.10 - VCO 6.4.x vor Version
6.4.2.12
Arista erklärt, dass nicht aufgeführte Release-Versionen nicht verwundbar sind. Für Versionen außerhalb des Supports liegt jedoch keine vollständige Bewertung vor. Wer noch auf einem End-of-Support-Zug arbeitet, sollte nicht aus dem Fehlen einer Nennung auf Entwarnung schließen, sondern den Upgrade-Pfad mit dem Arista Technical Assistance Center abstimmen.
Hosted- und Dedicated-Varianten waren laut Arista ebenfalls betroffen, wurden aber bereits vom Anbieter gepatcht. Dennoch ist es sinnvoll, den eigenen Betriebsmodus und die vom Provider bestätigte Version sauber zu dokumentieren, anstatt die Einstufung aus der Produktbezeichnung abzuleiten.
Warum ein Read-Only-Konto hier nicht genügt
Für die Ausnutzung sind Netzwerkzugriff auf die VCO-Weboberfläche und eine gültige, authentifizierte Sitzung erforderlich. Das ist keine Entwarnung: Arista beschreibt als minimale Voraussetzung die Rolle Enterprise Read Only, die niedrigste eingebaute Mandantenrolle. Auf einem betroffenen System kann ein Angreifer damit Operator-Berechtigungen gewinnen und sich als lokaler Superuser-Operator ausgeben.
Damit wird die Kontensicherheit Teil der Sofortbewertung. Prüfen Sie neben der Softwareversion auch, welche Partner-, Kunden- und Read-Only-Zugänge noch aktiv sind, ob sie wirklich benötigt werden und aus welchen Netzen die VCO-Weboberfläche erreichbar ist. Der Patch bleibt entscheidend; das Reduzieren unnötiger Konten und der Zugriff auf vertrauenswürdige Administrationsnetze senkt jedoch die Gelegenheit für eine Ausnutzung bis zum Abschluss des Updates.
Sofortmaßnahmen und feste Patchstände
Die von Arista empfohlene dauerhafte Lösung ist ein Upgrade auf einen korrigierten Release innerhalb des jeweils eingesetzten Versionszugs. Planen und testen Sie die Wartung nach Ihrem Change-Prozess, aber verschieben Sie die Einordnung nicht: Bei einer aktuell ausgenutzten Schwachstelle ist ein veralteter Orchestrator ein akutes Betriebsrisiko.
- Im Zug 5.2: auf
5.2.3.18oder neuer aktualisieren. - Im Zug 6.1: auf
6.1.3.10oder neuer aktualisieren. - Im Zug 6.4: auf
6.4.2.12oder neuer aktualisieren.
Ist ein sofortiges Upgrade aus betrieblichen Gründen nicht möglich, empfiehlt Arista als vorübergehende Risikoreduzierung, die VCO-Weboberfläche auf vertrauenswürdige administrative Netze zu beschränken. Ergänzend sollten nicht benötigte ausgehende Ports vom VCO-Host blockiert beziehungsweise begrenzt und unerwartete ausgehende Verbindungen überwacht werden. Diese Maßnahmen ersetzen kein Update: Laut Hersteller verhindert keine VCO-Konfiguration die Exposition der betroffenen Installation.
Kompromittierung prüfen, Beweise sichern
Weil die Ausnutzung bereits bestätigt ist, sollte ein betroffenes System nicht nur gepatcht, sondern auch auf Hinweise einer vorherigen Kompromittierung untersucht werden. Arista nennt zwei beobachtete Quelladressen, 74.82.197.86 und 38.54.50.151. Ein Treffer allein ist kein abschließender Beweis, aber ein Anlass für eine vertiefte Incident-Prüfung.
Kontrollieren Sie VCO-Webzugriffslogs auf ungewöhnliche URL-artige Pfadbestandteile, kodierte Zeichen, Verweise auf lokale oder interne Dienste sowie hohe Request-Raten. Prüfen Sie zusätzlich unerwarteten ausgehenden Netzwerkverkehr, unbekannte Backdoor-Dienste oder Webshells und kürzlich veränderte Administrator-Einstellungen. Abweichungen sollten mit Zeitstempeln und einer klaren Chronologie festgehalten werden.
Bei Verdacht nicht vorschnell Spuren löschen.
Sichern Sie, soweit die Betriebslage es zulässt, vor der Bereinigung VCO-Webzugriffslogs, Backend-Anwendungslogs, System- und Datenbanklogs sowie relevante Datei-Zeitstempel. Arista nennt genau diese Datenquellen als Grundlage für die Untersuchung.
Kontrolliert aktualisieren und verifizieren
Ein sinnvoller Ablauf trennt Sofortschutz, Update und Nachweis. Erfassen Sie zunächst alle On-Prem-VCO-Instanzen samt Release, URL, Netzwerkfreigaben und verantwortlichem Betriebsteam. Entfernen oder sperren Sie nicht mehr benötigte niedrig privilegierte Konten und beschränken Sie die Administrationsoberfläche auf die vorgesehenen Netze. Danach folgt das getestete Upgrade auf den zum Zug passenden festen Patchstand.
Nach dem Wartungsfenster reicht eine erfolgreiche Update-Meldung nicht als Abschluss. Verifizieren Sie die auf dem Orchestrator aktive Version, testen Sie einen repräsentativen administrativen Arbeitsablauf und prüfen Sie erneut Logs, Benutzer- und Rollenänderungen sowie Netzwerkverbindungen. Dokumentieren Sie Zeitpunkt, Instanz, Ausgangs- und Zielversion sowie das Prüfergebnis. So bleibt nachvollziehbar, dass die Schwachstelle nicht nur geplant, sondern wirksam behandelt wurde.
Häufige Fragen zu CVE-2026-114625
Nein. Die Beratung bezieht sich auf VeloCloud Orchestrator On-Prem in den konkret genannten Versionsbereichen. Entscheidend ist die installierte VCO-Release-Version. Nicht aufgeführte Releases gelten laut Arista als nicht verwundbar; End-of-Support-Releases wurden jedoch nicht bewertet.
Arista nennt Netzwerkzugriff auf die VCO-Weboberfläche und eine gültige Sitzung als Voraussetzung. Eine Beschränkung auf vertrauenswürdige administrative Netze reduziert daher die Angriffsfläche, ist aber keine vollständige Abhilfe für eine verwundbare Instanz.
Ja. Laut Arista reicht die integrierte Rolle Enterprise Read Only aus. Ein erfolgreich ausgenutztes betroffenes System kann dem Angreifer Operator-Rechte und die Möglichkeit geben, sich als lokaler Superuser-Operator auszugeben.
Das Update sollte nicht unnötig verzögert werden. Bei konkreten Auffälligkeiten oder einem Verdacht empfiehlt Arista jedoch, die relevanten Logdaten und Zeitstempel vor einer Bereinigung zu sichern. Das erleichtert eine belastbare Untersuchung, ob die Instanz bereits vor dem Patch kompromittiert wurde.