Arista a corrigé CVE-2026-114625, une injection SQL dans VeloCloud Orchestrator installé sur site, qui permet à un utilisateur doté du rôle le plus faible de prendre les droits d’opérateur sur la plateforme de pilotage SD-WAN. L’éditeur confirme une exploitation active et la CISA laisse aux agences fédérales jusqu’au 26 octobre.
Ce qui s’est passé
Le 22 octobre 2026, Arista a publié son bulletin de sécurité 0199 consacré à CVE-2026-114625, une injection SQL dans VeloCloud Orchestrator (VCO), la console qui pilote les boîtiers SD-WAN VeloCloud. L’éditeur lui attribue un score de 9,9 en CVSS 3.1 (9,4 en CVSS 4.0), précise avoir lui-même repéré le problème et indique qu’il est activement exploité. La CISA l’a inscrite le 23 octobre à son catalogue des vulnérabilités exploitées, avec une échéance au 26 octobre pour les agences fédérales américaines et une obligation d’analyse forensique.
Qui est concerné et comment les attaquants entrent
Seuls les orchestrateurs installés sur site sont vulnérables : VCO 5.2.x avant 5.2.3.18, 6.1.x avant 6.1.3.10 et 6.4.x avant 6.4.2.12. Les instances hébergées et dédiées ont déjà été corrigées par Arista ; les commutateurs EOS, CloudVision et les boîtiers eux-mêmes ne sont pas touchés. N’importe quel utilisateur authentifié, y compris avec le simple rôle Enterprise Read Only, peut obtenir les droits d’opérateur, se faire passer pour un superutilisateur interne et accéder à des fonctions qui n’auraient jamais dû être joignables à distance, avec des conséquences possibles sur le serveur VCO et sur les données qu’il gère. Comme l’orchestrateur pousse la configuration vers tous les sites, sa compromission touche l’ensemble du réseau.
Que faire maintenant
- Relevez la version de chaque orchestrateur sur site dans son interface web et comparez-la à la liste ci-dessus.
- Mettez à jour vers 5.2.3.18, 6.1.3.10 ou 6.4.2.12 (ou plus récent) selon votre branche.
- Restreignez l’accès à l’interface web du VCO aux seuls réseaux d’administration de confiance en attendant la mise à jour.
- Fouillez les journaux d’accès web à la recherche des deux adresses publiées par Arista,
74.82.197[.]86et38.54.50[.]151, ainsi que de chemins inhabituels, de caractères encodés, de références à des services locaux ou de rafales de requêtes. - Traquez une éventuelle persistance : webshells, portes dérobées, connexions sortantes inattendues depuis l’orchestrateur et actions récentes des administrateurs ; faites le ménage dans les comptes et supprimez les accès en lecture seule devenus inutiles.
Notre avis
Un compte en lecture seule se distribue souvent sans trop y penser, à un prestataire ou à un auditeur, parce qu’on le croit inoffensif ; cette faille rappelle que sur une console d’administration, chaque compte est une porte d’entrée possible. Un orchestrateur réseau mérite le même traitement qu’un pare-feu : réseau d’administration isolé, double authentification, revue régulière des comptes et correctifs appliqués sans délai.
Sources
- Arista — Security Advisory 0199: VeloCloud Orchestrator
- CISA — Known Exploited Vulnerabilities Catalog: CVE-2026-114625
- NIST NVD — CVE-2026-114625 Detail
Comment nous choisissons, vérifions et rédigeons nos analyses →
Votre propre serveur est-il exposé ? Faites un test gratuit — informations publiques uniquement, sans intrusion :
Vous craignez que vos serveurs soient exposés ? Notre équipe audite, corrige et surveille vos infrastructures Linux et cloud 24h/24, 7j/7.
Parler à un expert Notre offre d’infogérance de serveurs →
