Arista מתקנת חולשה בציון 10.0 ב-VeloCloud Orchestrator, שתוקפים כבר מנצלים

Arista פרסמה ב-27 ביולי 2026 התראה על חולשה קריטית ב-Arista VeloCloud Orchestrator. זו CVE-2026-16812, ותוקפים כבר מנצלים אותה בתקיפות. החולשה קיבלה את הציון המקסימלי, 10.0 במדד CVSS. היא מאפשרת לתוקף מרחוק להריץ פקודות על שרת הניהול, בלי שם משתמש וסיסמה. באותו יום הוסיפה CISA אותה לקטלוג החולשות המנוצלות (KEV).

Arista VeloCloud: חולשה בלי סיסמה בשרת הניהול של ה-SD-WAN

ה-VeloCloud Orchestrator (VCO) הוא שרת הניהול המרכזי של רשתות SD-WAN. SD-WAN מחבר סניפים ומשרדים דרך כמה קווי אינטרנט, ואת המדיניות שלו קובע מנהל המערכת במקום אחד. ה-VCO מגדיר את מכשירי הקצה בכל הסניפים, מנטר אותם ושולט בהם.

החולשה היא הזרקת פקודות מערכת הפעלה (OS command injection). לפי ההתראה של Arista, תוקף מרחוק מגיע לפונקציות פנימיות שלא נועדו לגישה חיצונית. אין צורך בפרטי התחברות של דייר או של מפעיל. מספיקה גישת רשת לממשק האינטרנט של ה-VCO.

יש גורם שמחמיר את המצב. ה-VCO חשוף לרשת כברירת מחדל, ואין הגדרה שמונעת זאת. כלומר, כל שרת שהממשק שלו נגיש מהאינטרנט הוא יעד אפשרי.

אילו גרסאות פגיעות, ומה Arista לא מגלה

ההתראה חלה על VCO מקומי (on-prem) בארבעה ענפים. גרסאות 5.2.x לפני 5.2.3.14 פגיעות. כך גם 6.1.x לפני 6.1.3.4, 6.4.x לפני 6.4.2.4 ו-7.0.x לפני 7.0.0.1. התיקון מגיע בגרסאות 5.2.3.14, 6.1.3.4 ו-6.4.2.4 ובגרסאות מאוחרות מהן.

לפי BleepingComputer, גרסה 7.0.0.1 ואילך אינה פגיעה. Arista לא בדקה גרסאות שהתמיכה בהן הסתיימה. מי שמפעיל ענף כזה צריך לפנות לצוות התמיכה שלה (TAC) ולברר אפשרות שדרוג.

לפי BleepingComputer, Arista לא אמרה מתי התחילו התקיפות ומי עומד מאחוריהן. היא גם לא פירטה איך מנצלים את החולשה. Arista מפרסמת שלוש כתובות IP שתקפו משם: 8.19.75.217, 206.72.242.124 ו-206.72.242.162. הרשימה אינה סופית, כי תוקפים עלולים לפרוץ גם מכתובות אחרות.

אחרי הפריצה: למה עדכון של Arista VeloCloud לא מספיק

ה-VCO שולט במכשירי VeloCloud Edge. לכן שרת שנפרץ עלול לפתוח לתוקף גם את מכשירי הקצה. הוא עלול לחשוף הגדרות, אישורי גישה, תעודות ומפתחות הצפנה.

Arista ממליצה לשמור יומנים וחותמות זמן של מערכת הקבצים לפני כל תיקון. אחר כך יש להחליף אישורי גישה ולבדוק פעילות של מנהלים. צריך גם לאמת את מצב המכשירים המנוהלים. במקרה של חשד, כדאי לשחזר או להחליף את מופע ה-VCO ממקור מהימן.

בהתראה מופיעים גם סימני פריצה ביומנים. בקשות רשת עם קידוד תווים חריג או עם נתיבים דמויי כתובת אתר מחשידות. כך גם הפניות לשירותים פנימיים וקצב בקשות חריג. חיבורי HTTP יוצאים בלתי צפויים מהשרת, יצירת ארכיונים וייצוא של מסד נתונים מצדיקים בדיקה.

עוד ב-GEEKLIK: חומת אש, VPN ושער דואר: שלוש פרצות יום אפס ב-Palo Alto, Cisco ו-Ivanti

מה קרה מאז

ב-3 באוגוסט 2026 עדכנה Arista את ההתראה והוסיפה את VCO Hosted לפלטפורמות המושפעות. לפי ההתראה, Arista מתקנת באופן פעיל את גרסאות Hosted ו-Dedicated. הדיווח הראשון ב-BleepingComputer כתב ש-Arista כבר טיפלה בהן לפני פרסום ההתראה.