Arista hat Patches für eine kritische SQL-Injection im VeloCloud Orchestrator veröffentlicht. Die Lücke mit CVSS 9,9 wird bereits ausgenutzt und betrifft lokale Installationen vor 5.2.3.18, 6.1.3.10 und 6.4.2.12. Eine Abhilfe ohne Update gibt es laut Arista nicht. Admins sollten patchen, zwei Angreifer-Adressen sperren und die Logs prüfen.
Eine Lücke mit CVSS 9,9 im VeloCloud Orchestrator wird aktiv ausgenutzt. Wer ihn selbst betreibt, sollte sofort auf eine gepatchte Version wechseln.
Das Wichtigste in Kürze
- Kritische Lücke, schon im Einsatz: CVE-2026-114625 ist eine SQL-Injection mit CVSS 9,9. Arista hat die Angriffe selbst entdeckt.
- Lokale Installationen sind betroffen: Alle Versionen vor 5.2.3.18, 6.1.3.10 und 6.4.2.12 sind verwundbar. Gehostete Instanzen hat Arista bereits repariert.
- Keine Abhilfe ohne Update: Laut Arista verhindert keine Konfiguration die Gefahr.
- Zwei Angreifer-Adressen sind bekannt: Admins sollten 74.82.197.86 und 38.54.50.151 sperren und in den Logs suchen.
Was die SQL-Injection im VeloCloud Orchestrator erlaubt
Arista Networks hat Patches für den VeloCloud Orchestrator (VCO) veröffentlicht. Der VCO ist das zentrale Verwaltungswerkzeug für VeloCloud-Netze. Laut SecurityWeek ist es die dritte ausgenutzte Zero-Day-Lücke im VCO innerhalb von vier Monaten.
Die neue Lücke ist eine SQL-Injection, die sich aus der Ferne ausnutzen lässt. Ein Angreifer kommt damit an interne Funktionen, die nie für den Fernzugriff gedacht waren. Jeder angemeldete Nutzer kann Operator-Rechte erlangen. Er gibt sich dann als lokaler Superuser-Operator aus.
Damit sind Vertraulichkeit, Integrität und Verfügbarkeit gefährdet. Das betrifft den VCO selbst und die Daten, die er verwaltet. Arista warnt zudem vor Folgen für den VCO-Host.
Wer betroffen ist und was ein Angreifer braucht
Betroffen sind nur lokal betriebene VCO-Installationen. Die gehosteten Varianten hat Arista bereits gepatcht. Die Lücke ist laut Arista in den Standardeinstellungen erreichbar. Ein Angreifer braucht Zugriff auf die Weboberfläche und eine gültige angemeldete Sitzung. Die niedrigste eingebaute Mandantenrolle reicht dafür aus.
Deshalb zählt ein einziges geklautes oder schwaches Konto bereits als Einstiegspunkt. Eine Schutzeinstellung gibt es laut Arista nicht.
| Kennzahl | Wert | Bedeutung |
|---|---|---|
| Kennung | CVE-2026-114625 | Die Lücke ist unter dieser Nummer erfasst. |
| CVSS-Wert | 9,9 | Die Einstufung lautet kritisch. |
| Gepatchte Versionen | 5.2.3.18, 6.1.3.10, 6.4.2.12 | Alle früheren Releases sind verwundbar. |
| Nötige Rechte | Gültige Sitzung, tiefste Mandantenrolle | Ein einfaches Konto genügt für den Angriff. |
| Bekannte Angreifer-IPs | 2 | Admins sollten sie sperren und in Logs suchen. |
Was Admins jetzt prüfen
Arista rät, die lokalen Installationen so schnell wie möglich zu aktualisieren. Die Angriffe kamen laut dem Hersteller von zwei IP-Adressen. Hinweise auf einen Angriff sollten Admins in diesen Punkten suchen:
- Zugriffe der Adressen 74.82.197.86 und 38.54.50.151
- hohe Anfragerraten
- Anfragen mit ungewöhnlichen, URL-artigen Pfadteilen
- codierte Zeichen in Anfragen
- Verweise auf lokale oder interne Dienste
Bei einem Verdacht sollten Betreiber die Webzugriffs-Logs, die Logs der Anwendung und die Systemlogs sichern. Der Quellentext bricht an dieser Stelle ab. Weitere Empfehlungen finden sich im Advisory von Arista.
So lassen sich Spuren sichern, bevor ein Update sie überschreibt.
Zur Quellenlage und zum Stand der Meldung
SecurityWeek berichtet, Arista habe die Patches an einem Donnerstag veröffentlicht. Ein genaues Datum der Erstmeldung und ein Datum der letzten Aktualisierung nennt der vorliegende Text nicht. Beides bleibt deshalb unbestätigt. Dieser Beitrag gibt den Stand vom 23. Oktober 2026 wieder. Auch zur Zahl der betroffenen Kunden oder zum Ausmass der Angriffe liefert die Quelle keine Angaben.
Einordnung: Was das für Admins in der Schweiz heisst
Wer einen VCO selbst betreibt, sollte heute prüfen, ob die Version unter 5.2.3.18, 6.1.3.10 oder 6.4.2.12 liegt. Ist das der Fall, muss das Update Vorrang haben, denn die Lücke wird bereits ausgenutzt. Parallel sollten Teams die zwei Adressen sperren und die Logs der Zeit vor dem Update durchsuchen. Nutzer gehosteter VCO-Instanzen müssen nichts tun, da Arista diese schon gepatcht hat. Zu Kosten macht die Quelle keine Angaben.
Fazit
Du kennst jetzt die betroffenen Versionen, die Angreifer-Adressen und die Hinweise auf einen Einbruch. Der nächste Schritt ist das Update auf eine gepatchte Version. Danach folgt die Suche in den Logs nach den genannten Mustern. Bei einem Verdacht sichere zuerst die Logs.
Quellen: SecurityWeek. Foto: RobVanDerMeijden / Pixabay. Stand: 23. Oktober 2026.
Recherche und Entwurf KI-gestützt, geprüft und freigegeben von Andreas Brauckmann · So arbeitet die Redaktion
Änderungshistorie
- — Artikel veröffentlicht.