Arista VeloCloud Orchestrator با CVE-2026-93952 (CVSS 10) زیر سوءاستفاده فعال

Control planeی SD-WAN معمولاً از Edgeها دورتر و ساکت‌تر به نظر می‌رسد. Security Advisory 0183 اریستا در ۲۲ سپتامبر ۲۰۲۶ آن فرض را شکست: CVE-2026-93952 روی VeloCloud Orchestrator on-prem با CVSS 3.1 = 10.0 (AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H) و CWE-20. مهاجم از راه دور به قابلیت داخلی privileged می‌رسد و host ارکستریتور — و داده‌ای که مدیریت می‌کند — را تهدید می‌کند. اریستا می‌گوید کشف خارجی بوده و فعالانه exploit می‌شود. CISA همان روز CVE را به KEV اضافه کرد.

نسخه‌های hosted/dedicated از سمت اریستا پچ شده‌اند. دردسر برای on-prem است:

• 5.2.x تا 5.2.3.15 و پایین‌تر
• 6.1.x تا 6.1.3.7 و پایین‌تر
• 6.4.x تا 6.4.2.7 و پایین‌تر
• 7.0.x تا 7.0.0.2 و پایین‌تر

فیکس منتشرشده در advisory: 5.2.3.16+ و 6.4.2.8+. برای قطارهای دیگر اریستا نوشته فیکس به‌تدریج می‌آید؛ تا آن موقع با TAC حرف بزنید.

شرط قرارگیری، نه جادوی پیش‌فرض

برای exploitation لازم است authentication مبتنی بر گواهی از VeloCloud Edge به VCO روشن باشد، مهاجم به بخش عمومی گواهی Edge دسترسی داشته باشد، و به وب‌اینترفیس VCO از شبکه برسد. credential مستأجر یا اپراتور لازم نیست. محدود کردن UI به شبکهٔ ادمین ریسک را کم می‌کند ولی جایگزین ارتقا نیست.

اریستا IoCهای مشخص هم داده: فایل‌هایی مثل /usr/local/sbin/.vcnode.js و /usr/local/sbin/vc-sysmond (hash شناخته‌شدهٔ md5 dc78e206eaeadec59fc5801fe4556bd0)، یونیت vc-sysmon.service، هدر HTTP به نام x-vc-opt در لاگ nginx، و IPهای 142.93.149.77 و 104.248.126.159. اگر رد پای compromise دیدید، state را نگه دارید و به TAC بزنید — چون کنترل ارکستریتور می‌تواند به Edgeها هم برسد: چرخش credential، بازبینی فعالیت ادمین، و در صورت نیاز بازسازی VCO از منبع قابل‌اعتماد.

Gateway و خود Edge طبق جدول «not affected» اریستا جدا هستند؛ هدف این advisory همان Orchestrator on-prem است.