Arista Networks hat am 22. Oktober 2026 eine aktiv ausgenutzte Zero-Day-Schwachstelle in seinem VeloCloud Orchestrator geschlossen und damit eine Lücke beseitigt, die Angreifern mit dem niedrigsten Zugriffsniveau der Plattform die Übernahme des Systems ermöglichte, mit dem Netzwerkverbindungen über mehrere Standorte hinweg verwaltet werden. Die Bezeichnung Zero-Day zeigt an, dass die Schwachstelle bereits angegriffen wurde, bevor eine Korrektur existierte. Arista übernahm die VeloCloud-Plattform 2025 von Broadcom.

Vom Nur-Lese-Konto zum Superuser

Arista beschrieb die Schwachstelle in Sicherheitshinweis 0199, der sie als CVE-2026-114625 identifiziert – eine SQL-Injection-Schwachstelle, eine seit Langem bekannte Angriffsklasse, bei der manipulierte Eingaben Datenbankabfragen beeinflussen – bewertet mit 9,9 von 10 unter CVSS v3.1. Die Gefahr liegt darin, wie viel Kontrolle ein Angreifer aus der niedrigsten Privilegienstufe gewinnen kann.
Die Ausnutzung erfordert Zugriff auf die Weboberfläche und gültige Anmeldeinformationen. Nach dem Login kann ein Angreifer die SQL-Injection nutzen, um ein Enterprise Read Only Konto – die am niedrigsten privilegierte Rolle der Plattform – zu Operator-Privilegien hochzustufen und sich als Superuser auszugeben. In der Praxis lässt sich ein Nur-Lese-Konto in die volle Kontrolle über die Plattform verwandeln. Arista bestätigte, dass Angreifer die Schwachstelle bereits in freier Wildbahn ausgenutzt haben.

Patches und eine forensische Checkliste

Betreiber von On-Premises-Installationen sollten ihre Softwareversionen überprüfen. Betroffene Versionen aus den Trains 5.2.x, 6.1.x und 6.4.x erfordern die korrigierten Builds 5.2.3.18, 6.1.3.10 und 6.4.2.12 bzw. neuere Versionen aus diesen Trains. Gehostete und Dedicated-Bereitstellungen, die auf von Arista betriebener Infrastruktur laufen, wurden bereits gepatcht. On-Premises-Installationen, die noch nicht auf die korrigierten Builds umgestellt haben, sind derweil weiterhin angreifbar.

Laut Arista gingen beide Angriffe von zwei Quell-IP-Adressen aus: 74.82.197.86 und .54.50.151. Das Unternehmen rät Systemadministratoren, verdächtige Webanfragen, unerwartete ausgehende Verbindungen und ungewöhnliche Administratoraktivitäten zu untersuchen. Zudem empfiehlt es, den Verwaltungszugriff auf vertrauenswürdige Netzwerke zu beschränken und relevante Protokolle aufzubewahren, falls ein Verstoß vermutet wird.

Die dritte VeloCloud-Schwachstelle seit dem Sommer

Die SQL-Injection ist die dritte aktiv ausgenutzte Schwachstelle, die innerhalb von drei Monaten im VeloCloud Orchestrator gemeldet wurde. Aristas Hinweis 0144, erstmals am 27. Juli 2026 veröffentlicht, betraf eine Command-Injection-Schwachstelle, während eine weitere Schwachstelle am 22. September durch Hinweis 0183 offengelegt wurde. Beide betrafen andere Angriffsmethoden als die jüngste Schwachstelle, doch alle drei betrafen dieselbe zentrale Managementplattform.

Da der VeloCloud Orchestrator Verbindungen über mehrere Standorte hinweg verwaltet, könnte ein Verstoß gegen die Plattform mehrere Netzwerke gleichzeitig gefährden.

Patches kommen nach den Angriffen

Branchendaten spiegeln das Muster wider, dass Ausnutzungen der Behebung zuvorkommen. Verizons 2026 Data Breach Investigations Report ergab, dass die Ausnutzung von Schwachstellen für 31 % der Datenschutzverletzungen verantwortlich war und gestohlene Zugangsdaten als führende Methode überholt hat, mit der Angreifer Zugang zu Netzwerken erhalten. Die Ergebnisse unterstreichen, wie wichtig es für Unternehmen ist, Schwachstellen zu beheben, bevor Angreifer sie ausnutzen können.

In der Praxis gelingt dies häufig nicht. Googles M-Trends-2026-Bericht ergab, dass Angreifer Systemschwachstellen im Durchschnitt sieben Tage lang ausnutzen, bevor eine Korrektur verfügbar ist. Der Bericht wies zudem auf Bedrohungen gegen Netzwerkgeräte wie VPNs und Router hin, denen eine Standard-Endpunktüberwachung fehlt.

KI könnte das Risiko verschärfen. In einer separaten Untersuchung dokumentierten Google-Forscher, wie Angreifer KI nutzten, um eine groß angelegte Kampagne zum Abgreifen von Zugangsdaten in weniger als sechs Stunden zu planen und auszuführen – eine Operation, bei der Tausende Zugangsdaten Dritter kompromittiert wurden. Es gibt keine bestätigten Belege dafür, dass KI eine Rolle bei den VeloCloud-Angriffen spielte, doch Googles Erkenntnisse zeigen, wie KI-gestützte Operationen Angreifern helfen können, schneller voranzukommen und potenziell größeren Schaden anzurichten, bevor Sicherheitsteams reagieren können.

Warum aufeinanderfolgende Korrekturen für einen wachsenden Markt wichtig sind

Cyberangriffe können schwerwiegende finanzielle Folgen haben. IBMs Studie 2026 schätzte die weltweiten Durchschnittskosten eines Datenverstoßes auf 4,99 Millionen US-Dollar. Auch die Sorgen über neue Bedrohungen nehmen zu: Der World Economic Forum fand heraus, dass 87 % der Befragten KI-bedingte Schwachstellen als am schnellsten wachsendes Cyberrisiko im 2025 betrachteten.

Die potenziellen Auswirkungen könnten wachsen, je mehr Unternehmen SD-WANs einführen – softwaredefinierte Weitverkehrsnetze, die mehrere Standorte verbinden und Unternehmen eine zentrale Verwaltung des Netzwerkverkehrs ermöglichen. Der Dell'Oro Group zufolge wird der SD-WAN-Umsatz bis 2030 jährlich um 14 % wachsen. Mit dem Ausbau dieser Netze könnte ein kompromittierter zentraler Controller den Geschäftsbetrieb an mehreren Standorten stören und potenziell Unternehmen in verschiedenen Ländern betreffen.

Den Finanzmärkten bereiten ähnliche Sorgen über operative Störungen. Cryptopolitan berichtete zuvor über versuchte Cyberangriffe gegen große Hedgefonds, was Fragen über mögliche Auswirkungen auf die Kryptomärkte aufwarf. Diese Vorfälle standen in keinem Zusammenhang mit den VeloCloud-Angriffen, unterstreichen jedoch die Bedeutung des Schutzes kritischer Systeme.

Für Unternehmen, die VeloCloud betreiben, lauten die Prioritäten: verfügbare Patches einspielen, nach Anzeichen einer früheren Kompromittierung suchen und die Systeme absichern, die ihre Zweigstellen verbinden.