Arista Networks ha confermato che una terza falla critica in quattro mesi colpisce VeloCloud Orchestrator (VCO), la console che gestisce centralmente le reti SD-WAN di migliaia di aziende nel mondo, e che gli attaccanti la stanno già sfruttando attivamente. La vulnerabilità, identificata come CVE-2026-114625, ha un punteggio di gravita CVSS v3.1 di 9,9 su 10 (9,4 nella scala CVSS v4.0): è una SQL injection che permette a un utente autenticato con il profilo più basso disponibile di impossessarsi dei privilegi massimi del sistema. La U.S. Cybersecurity and Infrastructure Security Agency (CISA) ha inserito la falla nel proprio catalogo delle vulnerabilità note e sfruttate (KEV) il 23 ottobre 2026, imponendo alle agenzie federali statunitensi di applicare la correzione entro il 26 ottobre, termine già scaduto al momento in cui scriviamo.
Cos'è VeloCloud Orchestrator e cosa permette la falla CVE-2026-114625
VeloCloud Orchestrator è la piattaforma di gestione centralizzata delle soluzioni SD-WAN di Arista, l'azienda statunitense specializzata in switch e infrastrutture di rete per data center e aziende, che ha acquisito la tecnologia VeloCloud da VMware. Attraverso VCO, i reparti IT configurano, monitorano e orchestrano da un'unica interfaccia web le reti geografiche distribuite su sedi, filiali e data center: un bersaglio particolarmente interessante per un attaccante, perché compromettere l'orchestratore significa potenzialmente avere visibilità e controllo su tutta l'infrastruttura di rete che gestisce.
Secondo l'advisory di sicurezza pubblicato da Arista il 22 ottobre 2026 (CWE-89, classe "SQL Injection"), la falla riguarda le installazioni on-premise di VCO ed è "sfruttabile di default", come recita testualmente il documento: nessuna impostazione di configurazione può prevenire l'esposizione. Per attaccare il sistema basta avere accesso di rete all'interfaccia web di VCO e un account valido con il ruolo più basso previsto dalla piattaforma, "Enterprise Read Only": da lì, tramite l'iniezione SQL, un utente può elevarsi fino ai privilegi di un operatore locale con profilo "superuser", ottenendo di fatto il controllo del sistema sottostante. Arista stessa descrive l'impatto come una possibile compromissione di riservatezza, integrità e disponibilità dell'intero orchestratore.
Gli indicatori dell'attacco e le versioni corrette
Arista ha confermato che la falla è già stata usata in attacchi reali e ha pubblicato due indirizzi IP associati alle attività malevole osservate, 74.82.197.86 e 38.54.50.151, raccomandando di bloccarli e di analizzare i log di accesso web alla ricerca di percorsi URL anomali, caratteri codificati sospetti o riferimenti a servizi interni. Agli amministratori che temono una compromissione già avvenuta, l'azienda consiglia di preservare i log applicativi, di sistema e del database prima di procedere con qualsiasi intervento di bonifica, oltre a verificare eventuali modifiche sospette nelle attività amministrative recenti.
Le versioni corrette sono disponibili per tutti i rami software coinvolti: 5.2.3.18 per il ramo 5.2, 6.1.3.10 per il ramo 6.1 e 6.4.2.12 per il ramo 6.4, oltre alle versioni successive di ciascun ramo. Le installazioni VCO Hosted e Dedicated gestite direttamente da Arista risultano già corrette. Per chi utilizza ancora release giunte a fine supporto, Arista non ha eseguito verifiche e invita a contattare il proprio centro di assistenza tecnica (TAC).
Non è un caso isolato: il terzo zero-day su VCO in quattro mesi
Quello che rende la vicenda più preoccupante è la frequenza con cui VeloCloud Orchestrator viene colpito da falle critiche sfruttate attivamente prima ancora di una correzione pubblica. CVE-2026-114625 è infatti la terza vulnerabilità zero-day di questo tipo divulgata da Arista dal mese di luglio 2026: era stata preceduta da CVE-2026-16812, un'esecuzione di codice da remoto corretta il 27 luglio, e da CVE-2026-93952, un'altra falla critica con punteggio CVSS massimo di 10,0 su 10 che consentiva di ottenere accesso privilegiato, risolta il 22 settembre. In pratica, un'organizzazione che avesse applicato puntualmente ciascuna delle patch precedenti si è comunque ritrovata esposta, pochi giorni o settimane dopo, a una nuova falla critica sullo stesso prodotto: un pattern che gli analisti di sicurezza hanno già segnalato come un caso di studio su quanto sia difficile, per chi gestisce infrastrutture SD-WAN esposte su Internet, restare davvero al passo con il ciclo delle patch quando il bersaglio è un singolo componente molto centrale e molto attaccato.
Cosa devono fare amministratori di rete e aziende
Per i reparti IT e i fornitori di servizi gestiti che amministrano reti SD-WAN basate su VeloCloud, la priorità immediata è verificare la versione in uso e aggiornare alle release corrette, oltre a limitare l'accesso all'interfaccia web di VCO alle sole reti amministrative, invece di lasciarla esposta genericamente su Internet. Anche le aziende che non gestiscono direttamente l'infrastruttura, ma si affidano a un provider di connettività o a un integratore per la propria rete aziendale multisede, dovrebbero chiedere conferma scritta che il fornitore abbia applicato la correzione: la storia recente di VCO mostra che il solo aggiornamento alla versione patchata di turno non basta a garantire una protezione duratura, e che vale la pena programmare controlli periodici piuttosto che considerare il problema chiuso dopo un singolo intervento.
Il commento di PINET
Per le aziende italiane che usano soluzioni SD-WAN enterprise, incluse filiali di multinazionali e reti distribuite di PA e sanità, la vicenda VeloCloud conferma un problema già noto con altri apparati di rete esposti su Internet, da Citrix NetScaler a FortiMail: più un prodotto è centrale nella gestione della rete, più diventa un bersaglio ricorrente, e la sola applicazione delle patch via via rilasciate rischia di dare una falsa sensazione di sicurezza se non è accompagnata da una riduzione reale della superficie esposta. In Italia il riferimento normativo più vicino resta il perimetro di sicurezza nazionale cibernetica e gli obblighi di notifica verso l'Agenzia per la cybersicurezza nazionale per i soggetti critici, ma la gran parte delle aziende che usano VCO non rientra in quel perimetro e dipende quindi solo dalla propria capacità organizzativa di monitorare advisory come quelli di Arista e di intervenire in tempi brevi. Vista la ricorrenza delle falle su questo prodotto, un atteggiamento prudente per chi lo usa è trattare l'esposizione dell'interfaccia di gestione come un rischio strutturale da ridurre, per esempio con una rete amministrativa dedicata, e non solo come un'emergenza da richiudere ogni volta che arriva un nuovo avviso.
Fonte: BleepingComputer
