A Arista corrigiu uma vulnerabilidade de injeção de comandos de gravidade máxima em implantações locais do VeloCloud Orchestrator, ou VCO, e há indícios de que ela já esteja sendo explorada ativamente em ataques.
A falha, identificada como
CVE-2026-16812
, é um caso de injeção de comandos do sistema operacional sem autenticação, com pontuação 10,0 no CVSS, e pode abrir caminho para execução arbitrária de código.
O VeloCloud Orchestrator é uma plataforma centralizada de gerenciamento usada para configurar, monitorar e administrar implantações de VeloCloud SD-WAN e os dispositivos edge associados.
Em um comunicado divulgado na segunda-feira, a Arista informou que o VeloCloud Orchestrator on-prem tem um problema de segurança que permite que invasores remotos acessem funcionalidades internas privilegiadas, que foram criadas apenas para uso interno e não devem ficar acessíveis remotamente, além de afetar o host do VCO.
“Uma exploração bem-sucedida pode comprometer a confidencialidade, a integridade e a disponibilidade do orquestrador e dos dados gerenciados por ele”, alertou a empresa.
Segundo a Arista, o VCO deve ficar exposto por padrão, sem opção de configuração que impeça essa exposição.
Para explorar a falha, o atacante só precisa ter acesso à interface web do VCO, sem necessidade de credenciais de locatário ou de operador.
A empresa afirmou que a
CVE-2026-16812
foi descoberta externamente e já se sabia que estava sendo explorada ativamente, mas não informou quando os ataques começaram, quantos clientes podem ter sido impactados nem quem está por trás deles.
Segundo o BleepingComputer, a companhia não respondeu imediatamente a essas perguntas.
As seguintes versões locais do VeloCloud Orchestrator estão afetadas:
VCO 5.2.x anteriores à 5.2.3.14
VCO 6.1.x anteriores à 6.1.3.4
VCO 6.4.x anteriores à 6.4.2.4
VCO 7.0.x anteriores à 7.0.0.1
As implantações Hosted e Dedicated do VeloCloud Orchestrator foram corrigidas antes da publicação do aviso e não são afetadas.
Os produtos VeloCloud Gateway e VeloCloud Edge também não estão vulneráveis a essa falha.
A empresa afirma que o problema foi corrigido nas versões 5.2.3.14, 6.1.3.4 e 6.4.2.4 do VCO e nas posteriores.
A lista de software afetado também indica que as versões 7.0.0.1 e superiores não estão vulneráveis.
A Arista alerta que as versões sem suporte não foram avaliadas para verificar se são vulneráveis.
Clientes que ainda operam linhas de versão não suportadas devem entrar em contato com o Centro de Assistência Técnica da Arista para discutir opções de atualização.
Como indicadores de comprometimento, a empresa divulgou três endereços IP vistos “conduzindo os ataques” e orientou os clientes a bloqueá-los e verificar os logs em busca de registros associados:
8.19.75.217
206.72.242.124
206.72.242.162
No entanto, é possível que dispositivos tenham sido comprometidos a partir de outros IPs, portanto essa lista não é definitiva.
Enquanto os patches são implantados, os administradores devem restringir o acesso à interface web do VCO a redes administrativas confiáveis, monitorar acessos vindos de endereços IP maliciosos conhecidos, verificar atividade de rede de saída inesperada a partir do host do VCO e revisar atividades recentes de administradores em busca de alterações incomuns.
Se houver suspeita de comprometimento, a Arista recomenda preservar os logs de acesso web do VCO, os logs de aplicativos de backend, os logs do sistema, os logs do banco de dados e os carimbos de data e hora relevantes do sistema de arquivos antes da correção, sempre que isso for operacionalmente viável.
As organizações devem analisar os logs do VCO em busca de sinais de exploração, incluindo:
Solicitações web incomuns contendo caracteres codificados, componentes de caminho semelhantes a URLs, referências a serviços locais ou internos, ou taxas anormalmente altas de requisições
Conexões vindas de endereços IP maliciosos conhecidos
Tráfego HTTP ou HTTPS de saída inesperado a partir do host do VCO
Alterações de configuração não autorizadas ou atividades de manutenção com privilégios
Execução inesperada de comandos, criação de arquivos, exportações de banco de dados ou arquivos compactados
Acesso suspeito a bancos de dados do VCO, dados de configuração, inventários de dispositivos, credenciais, certificados ou chaves criptográficas
As organizações potencialmente afetadas devem rotacionar credenciais, revisar a atividade de administradores, validar os dispositivos gerenciados e considerar restaurar ou substituir as instâncias comprometidas.
Como uma exploração bem-sucedida pode comprometer tanto o host do orquestrador quanto os dados que ele gerencia, instalar a atualização de segurança pode não ser suficiente em sistemas que já tenham sido invadidos.
A Arista também alerta que o comprometimento de uma instância do VeloCloud Orchestrator pode dar aos atacantes acesso aos dispositivos VeloCloud Edge.
A divulgação levou a Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos, a CISA, a adicionar a
CVE-2026-16812
ao catálogo de Vulnerabilidades Conhecidas Exploradas, exigindo que agências civis do Poder Executivo federal dos EUA mitiguem a falha até quinta-feira, 30/07/2026, conforme a Diretiva Operacional Vinculante 22-01.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...