Arista Networks a corrigé le 22 octobre 2026 une vulnérabilité zero-day activement exploitée dans son VeloCloud Orchestrator, fermant ainsi une faille qui permettait à des attaquants disposant du niveau d'accès le plus bas de la plateforme de prendre le contrôle du système utilisé pour gérer les connexions réseau sur plusieurs sites. L'appellation zero-day indique que la faille était ciblée par des attaques avant même l'existence d'un correctif. Arista avait acquis la plateforme VeloCloud auprès de Broadcom en 2025.

D'un compte en lecture seule au statut de superutilisateur

Arista a détaillé la vulnérabilité dans l'avis de sécurité 0199, qui l'identifie comme CVE-2026-114625, une faille d'injection SQL — une catégorie d'attaque de longue date dans laquelle une entrée forgée manipule des requêtes de base de données — notée 9,9 sur 10 selon le CVSS v3.1. Le danger réside dans le niveau de contrôle qu'un attaquant peut obtenir à partir du niveau de privilèges le plus bas.
L'exploitation requiert un accès à l'interface web et des identifiants de connexion valides. Une fois connecté, l'attaquant peut exploiter l'injection SQL pour élever un compte Enterprise Read Only — le rôle le moins privilégié de la plateforme — au rang de privilèges d'opérateur et se faire passer pour un superutilisateur. En pratique, un compte en lecture seule peut ainsi obtenir le contrôle total de la plateforme. Arista a confirmé que des attaquants avaient déjà exploité la vulnérabilité dans la nature.

Correctifs et liste de vérification forensique

Les opérateurs de déploiements sur site doivent vérifier leurs versions logicielles. Les versions concernées des branches 5.2.x, 6.1.x et 6.4.x nécessitent respectivement les builds corrigés 5.2.3.18, 6.1.3.10 et 6.4.2.12, ou des versions ultérieures de ces branches. Les déploiements Hosted et Dedicated, qui s'exécutent sur une infrastructure opérée par Arista, ont déjà été corrigés. Les déploiements sur site qui n'ont pas encore migré vers les builds corrigés restent exposés entre-temps.

Selon Arista, les deux attaques proviennent de deux adresses IP sources : 74.82.197.86 et 38.54.50.151. La société conseille aux administrateurs système d'examiner les requêtes web suspectes, les connexions sortantes inattendues et toute activité administrateur inhabituelle. Elle recommande également de limiter l'accès de gestion aux réseaux de confiance et de conserver les journaux pertinents en cas de suspicion de compromission.

La troisième faille VeloCloud depuis l'été

L'injection SQL constitue la troisième faille activement exploitée signalée dans VeloCloud Orchestrator en trois mois. L'avis 0144 d'Arista, publié pour la première fois le 27 juillet 2026, portait sur une vulnérabilité d'injection de commandes, tandis qu'une autre faille a été divulguée le22 septembre via l'avis 0183. Ces deux failles impliquaient des méthodes d'attaque distinctes de la dernière vulnérabilité, mais les trois affectaient la même plateforme centrale de gestion.

Comme VeloCloud Orchestrator gère les connexions sur plusieurs sites, une compromission de la plateforme pourrait affecter simultanément plusieurs réseaux.

Des correctifs qui arrivent après les exploits

Les données du secteur illustrent le schéma d'une exploitation qui devance la remédiation. Le rapport 2026 Data Breach Investigations de Verizon a révélé que l'exploitation de vulnérabilités représentait 31 % des violations de données, dépassant le vol d'identifiants comme principale méthode d'accès aux réseaux utilisée par les attaquants. Ces résultats soulignent la nécessité pour les entreprises de corriger les vulnérabilités avant que les attaquants ne puissent les exploiter.

En pratique, les entreprises y parviennent rarement. Selon le rapport M-Trends 2026 de Google, les attaquants exploitent les vulnérabilités système pendant une moyenne de sept jours avant qu'un correctif ne soit disponible. Le rapport met également en lumière les menaces pesant sur les équipements réseau tels que les VPN et les routeurs, qui ne bénéficient pas d'une surveillance standard des terminaux.

L'IA pourrait aggraver le risque. Dans une enquête distincte, des chercheurs de Google ont documenté des attaquants utilisant l'IA pour planifier et exécuter une campagne massive de collecte d'identifiants en moins de six heures, une opération qui a compromis des milliers d'identifiants tiers. Rien ne prouve que l'IA ait joué un rôle dans les attaques contre VeloCloud, mais les conclusions de Google montrent comment des opérations assistées par IA peuvent permettre aux attaquants d'agir plus vite et de causer potentiellement davantage de dégâts avant que les équipes de sécurité ne puissent réagir.

Pourquoi ces correctifs successifs comptent pour un marché en croissance

Les cyberattaques peuvent avoir de lourdes conséquences financières. L'étude 2026 d'IBM estimait le coût moyen mondial d'une violation de données à 4,99 millions de dollars. Les inquiétudes face aux menaces émergentes s'intensifient également : le Forum économique mondial a constaté que 87 % des répondants considéraient les vulnérabilités liées à l'IA comme le risque cyber à la croissance la plus rapide en 2025.

L'impact potentiel pourrait s'accroître à mesure que davantage d'entreprises adoptent les SD-WAN — des réseaux étendus définis par logiciel qui connectent plusieurs bureaux et permettent de gérer le trafic réseau de manière centralisée. Le Dell'Oro Group prévoit une croissance annuelle des revenus du SD-WAN de 14 % jusqu'en 2030. À mesure que ces réseaux s'étendent, un contrôleur central compromis pourrait perturber les opérations commerciales sur plusieurs sites, affectant potentiellement des entreprises dans différents pays.

Les marchés financiers partagent des inquiétudes similaires concernant les perturbations opérationnelles. Cryptopolitan a précédemment rapporté des tentatives de cyberattaques contre d'importants hedge funds, soulevant des questions sur un possible débordement vers les marchés crypto. Ces incidents étaient distincts des attaques contre VeloCloud, mais ils soulignent l'importance de protéger les systèmes critiques.

Pour les entreprises utilisant VeloCloud, les priorités sont d'appliquer les correctifs disponibles, de rechercher des signes de compromission antérieure et de sécuriser les systèmes qui connectent leurs réseaux d'agences.