Non attribuito · sfruttamento attivo come zero-day, confermato dal vendor (Arista Security Advisory 0144)critical
Dieci su dieci sull'orchestratore: la falla di Arista VeloCloud sfruttata come zero-day
CVE-2026-16812 è una vulnerabilità di VeloCloud Orchestrator (VCO) On-Prem — la console che gestisce le reti SD-WAN di Arista — con punteggio CVSS 10.0, il massimo. È una OS command injection (CWE-78) che permette a un attaccante remoto e non autenticato, con la sola raggiungibilità della web interface, di accedere a funzionalità interne privilegiate e compromettere l'host dell'orchestratore e i dati che gestisce. Arista l'ha pubblicata il 27 luglio 2026 con il Security Advisory 0144, dichiarandola scoperta esternamente e già sfruttata attivamente; la CISA l'ha inserita nel catalogo delle vulnerabilità sfruttate lo stesso giorno. VCO è esposto di default e nessuna configurazione evita l'esposizione: l'unica risposta è la patch.
L'orchestratore è il posto sbagliato dove avere una falla
VeloCloud Orchestrator è la centralina di una rete SD-WAN: da lì si configurano, si monitorano e si gestiscono le sedi, gli edge e le regole di traffico di un'intera organizzazione. Chi controlla l'orchestratore non controlla un server qualunque, controlla la rete che quel server governa. È esattamente il posto dove una vulnerabilità fa più male, ed è lì che vive CVE-2026-16812: punteggio CVSS 10.0, il tetto della scala, sia nella versione 3.1 che nella 4.0.
Arista l'ha resa pubblica il 27 luglio 2026 con il Security Advisory 0144, revisione 1.0. Il linguaggio è quello che non lascia margini: il difetto è stato scoperto esternamente ed è noto per essere sfruttato attivamente. In altre parole, non è una falla trovata in un laboratorio e corretta per prudenza — è uno zero-day che qualcuno stava già usando quando è arrivata la patch. Le versioni Hosted e Dedicated di VCO, gestite da Arista, erano già state corrette prima dell'annuncio; il problema riguarda le installazioni On-Prem, quelle che ogni azienda gestisce da sé.
Dove sta il difetto
La classificazione è CWE-78, OS command injection: la mancata neutralizzazione dei caratteri speciali usati in un comando di sistema. In pratica esiste una funzionalità che doveva restare a uso interno e non essere raggiungibile da remoto, e che invece è esposta. Un attaccante che raggiunge la web interface di VCO può accedere a quella funzionalità privilegiata e portare all'host comandi che non dovrebbe poter eseguire. Il vettore CVSS lo dice in modo compatto: AV:N/AC:L/PR:N/UI:N — attacco dalla rete, complessità bassa, nessun privilegio richiesto, nessuna interazione dell'utente — con impatto pieno su riservatezza, integrità e disponibilità e cambio di scope.
- 01Richiesta verso la web interface di VCOsenza credenziali tenant né operator
- 02Funzionalità interna espostadoveva essere solo per uso interno
- 03OS command injection (CWE-78)comandi eseguiti sull'host dell'orchestratore
Il dettaglio che rende la falla difficile da mitigare senza patch è nell'advisory, testuale: VCO è esposto di default, e nessuna configurazione può impedire l'esposizione. Per lo sfruttamento serve soltanto l'accesso di rete alla web interface; non servono credenziali di tenant né di operator. Restringere l'accesso della web interface a reti amministrative fidate riduce il rischio, ma non chiude il buco: è una barriera davanti alla porta, non la serratura.
Cosa è colpito e cosa è già corretto
Arista elenca con precisione le versioni. Sono vulnerabili le release VCO 5.2.x precedenti alla 5.2.3.14, 6.1.x precedenti alla 6.1.3.4, 6.4.x precedenti alla 6.4.2.4 e 7.0.x precedenti alla 7.0.0.1. Le correzioni sono nelle build 5.2.3.14, 6.1.3.4, 6.4.2.4 e successive dei rispettivi rami. La priorità operativa è secca: aggiornare a una release corretta prima possibile, dando la precedenza a qualunque VCO raggiungibile in rete.
Indicatori e bonifica
Non esiste un singolo indicatore di compromissione definitivo, avverte Arista. L'advisory indica però dove guardare: i log di accesso web di VCO, cercando componenti di percorso inusuali nelle URL, caratteri codificati, riferimenti a servizi locali o interni, o picchi anomali di richieste; e i log applicativi e di sistema del backend attorno agli stessi orari. Vanno considerati sospetti anche traffico in uscita inatteso dall'host VCO, modifiche di configurazione sensibili che non corrispondono ad attività amministrativa, ed esecuzioni di comandi o esportazioni di database non attese. Arista pubblica tre indirizzi IP osservati mentre conducevano gli attacchi, da bloccare e cercare nei log: 8.19.75.217, 206.72.242.124, 206.72.242.162.
Un punto che l'advisory sottolinea e che vale la pena ripetere: la compromissione dell'orchestratore può aprire l'accesso anche ai dispositivi VeloCloud Edge che gestisce. Per questo, dove si sospetta un'intrusione, la bonifica non finisce con la patch: rotazione delle credenziali, revisione dell'attività amministrativa, validazione dello stato dei dispositivi gestiti e, se serve, ripristino dell'orchestratore da una fonte fidata.
Come sempre, descriviamo la meccanica a livello concettuale — funzionalità interna esposta, iniezione di comandi, esecuzione sull'host — e non pubblichiamo la richiesta con cui si sfrutta la falla: la logica del dossier è aiutare a difendersi. I fatti che contano — CVSS 10.0, sfruttamento attivo, versioni e correttivi, indicatori — sono verificabili alle fonti in testa alla pagina: l'advisory di Arista per la descrizione tecnica e il catalogo CISA per la conferma dello sfruttamento. Gli ID MITRE che riportiamo, T1190 e T1059, sono una nostra mappatura ragionata dei comportamenti descritti: l'advisory non fornisce ID ATT&CK, e lo dichiariamo.
