Arista Networks пусна корекции за сигурност за уязвимост от тип нулев ден, която се експлоатира активно и засяга локалните внедрявания (On-Prem) на VeloCloud Orchestrator (VCO).

VCO е базирана в облака платформа за централизирано управление, която помага на администраторите да конфигурират, наблюдават и управляват VeloCloud SD-WAN (софтуерно дефинирани широкoплощни мрежи) и свързаните с тях крайни устройства.

Уязвимостта се проследява като CVE-2026-93952 и е с максимална степен на сериозност. Тя произтича от неадекватна валидация на входните данни и засяга VCO среди, в които е конфигурирана автентификация с сертификат от VeloCloud Edge към VeloCloud Orchestrator (VCO).

Отдалечени атакуващи могат да експлоатират уязвимостта, за да получат достъп до привилегирована вътрешна функционалност на VCO хоста при атаки с ниска сложност, които не изискват права върху целевата система или взаимодействие с потребителя.

„Този проблем беше открит външно и е известно, че се експлоатира активно“, предупреди компанията в бюлетин за сигурност във вторник. „Изисква се достъп до публичната част от сертификата за автентификация на VeloCloud Edge. Успешната атака изисква мрежов достъп до уеб интерфейса на VCO. За това излагане не са необходими идентификационни данни за оператор или клиент на VCO.“

Arista съобщава, че вече е отстранила уязвимостта в хостваните среди с VCO 5.2.3.16 или по-нова версия и VCO 6.4.2.8 или по-нова версия, като също така ще пусне корекции за сигурност за VCO инстанции с версии 6.1.3.7 и по-ниски, както и 7.0.0.2 и по-ниски.

Американската агенция за киберсигурност и инфраструктурна сигурност (CISA) също добави CVE-2026-93952 към своя каталог с известни експлоатирани уязвимости във вторник и нареди на федералните граждански агенции в САЩ да защитят мрежите си до петък, 25 септември.

Индикатори за компрометиране

Докато се внедряват корекциите за сигурност, администраторите трябва да ограничат достъпа до уеб интерфейса на VCO само до административни мрежи, да прегледат скорошната администраторска активност за необичайни промени и да наблюдават за връзки от известни злонамерени IP адреси.

Администраторите трябва да прегледат логовете за уеб достъп на VCO за подозрителна активност, като заявки, съдържащи кодирани знаци, необичайни URL компоненти на пътища, препратки към локални или вътрешни услуги или висок брой заявки.

Arista също така препоръча на екипите по сигурност да блокират IP адресите 142[.]93.149.77 и 104[.]248.126.159 и да прегледат nginx логовете за HTTP заглавието x-vc-opt. Компанията отбелязва, че неочаквана изходяща HTTP или HTTPS активност, произлизаща от VCO хоста, също може да изисква допълнителен преглед.

„Ако има съмнения за компрометиране, операторите трябва да запазят логовете за уеб достъп на VCO, логовете на бекенд приложенията, системните логове, логовете на базите данни и съответните времеви отпечатъци във файловата система преди отстраняването, когато това е оперативно възможно“, добави тя и посъветва клиентите да се свържат с Центъра за техническа помощ на Arista Networks (TAC), ако се нуждаят от допълнителна помощ.

От началото на годината Arista отстрани още две zero-day уязвимости (CVE-2026-7473 през май и CVE-2026-16812 през юли), които се експлоатираха активно в атаки и засягаха съответно Extensible Operating System (EOS) и локалните внедрявания на VeloCloud Orchestrator.

Arista Networks е компания от Fortune 500 и една от най-големите корпорации в САЩ по приходи, с повече от 10 000 клиенти по целия свят.