Arista Networks ha corretto il 22 ottobre 2026 una vulnerabilità zero-day sfruttata attivamente nella sua VeloCloud Orchestrator, chiudendo un difetto che permetteva ad attaccanti con il livello di accesso più basso della piattaforma di prendere il controllo del sistema utilizzato per gestire le connessioni di rete su più siti. L'etichetta zero-day riflette il fatto che il difetto era sotto attacco prima che esistesse una correzione. Arista ha acquisito la piattaforma VeloCloud da Broadcom nel 2025.

Da account read-only a superuser

Arista ha dettagliato la vulnerabilità nell'advisory di sicurezza 0199, che la identifica come CVE-2026-114625, un difetto di SQL injection — una categoria di attacco di lunga data in cui input appositamente costruiti manipolano le query del database — con un punteggio di 9,9 su 10 secondo CVSS v3.1. Il pericolo risiede nel livello di controllo che un attaccante può ottenere dal tier di privilegi più basso.
Lo sfruttamento richiede l'accesso all'interfaccia web e credenziali di accesso valide. Una volta effettuato l'accesso, un attaccante può sfruttare l'SQL injection per elevare un account Enterprise Read Only — il ruolo a privilegi più bassi della piattaforma — a privilegi di operatore e impersonare un superuser. In pratica, un account read-only può essere trasformato nel pieno controllo della piattaforma. Arista ha confermato che gli attaccanti hanno già sfruttato la vulnerabilità in natura.

Correzioni e checklist forense

Gli operatori di deployment on-premises dovrebbero verificare le proprie versioni software. Le versioni interessate dei train 5.2.x, 6.1.x e 6.4.x richiedono rispettivamente le build corrette 5.2.3.18, 6.1.3.10 e 6.4.2.12, o versioni successive di quei train. I deployment Hosted e Dedicated, che girano su infrastrutture gestite da Arista, sono già stati corretti. Nel frattempo, i deployment on-premises che non sono ancora passati alle build corrette restano esposti.

Secondo Arista, entrambi gli attacchi provengono da due indirizzi IP sorgente: 74.82.197.86 e 38.54.50.151. L'azienda consiglia agli amministratori di sistema di indagare su richieste web sospette, connessioni in uscita inattese e attività amministrative insolite. Raccomanda inoltre di limitare l'accesso di gestione a reti fidate e di conservare i log pertinenti in caso di sospetta compromissione.

Il terzo difetto VeloCloud dall'estate

L'SQL injection segna il terzo difetto sfruttato attivamente segnalato in VeloCloud Orchestrator entro tre mesi. L'advisory 0144 di Arista, pubblicato per la prima volta il 27 luglio 2026, riguardava una vulnerabilità di command injection, mentre un altro difetto è stato divulgato il 22 settembre tramite l'advisory 0183. Entrambi implicavano metodi di attacco distinti dall'ultima vulnerabilità, ma tutti e tre hanno interessato la stessa piattaforma di gestione centrale.

Poiché VeloCloud Orchestrator gestisce le connessioni su più siti, una compromissione della piattaforma potrebbe compromettere diverse reti contemporaneamente.

Le correzioni arrivano dopo gli exploit

I dati di settore riflettono il modello di uno sfruttamento che supera la remediazione. Il 2026 Data Breach Investigations Report di Verizon ha rilevato che lo sfruttamento di vulnerabilità ha rappresentato il 31% dei data breach, superando le credenziali rubate come principale metodo utilizzato dagli attaccanti per accedere alle reti. I risultati sottolineano la necessità per le aziende di correggere le vulnerabilità prima che gli attaccanti possano sfruttarle.

In pratica, le aziende spesso non riescono a farlo. Il rapporto M-Trends 2026 di Google ha rilevato che gli attaccanti sfruttano le vulnerabilità dei sistemi per una media di sette giorni prima che sia disponibile una correzione. Il rapporto ha evidenziato anche le minacce contro i dispositivi di rete come VPN e router, privi di un monitoraggio endpoint standard.

L'IA potrebbe accentuare il rischio. In un'indagine separata, i ricercatori di Google hanno documentato attaccanti che utilizzano l'IA per pianificare ed eseguire una campagna di raccolta di credenziali su larga scala in meno di sei ore, un'operazione che ha compromesso migliaia di credenziali di terze parti. Non ci sono prove confermate che l'IA abbia avuto un ruolo negli attacchi VeloCloud, ma i risultati di Google mostrano come le operazioni assistite dall'IA possano aiutare gli attaccanti a muoversi più rapidamente e potenzialmente causare danni maggiori prima che i team di sicurezza possano rispondere.

Perché le correzioni consecutive contano per un mercato in crescita

Gli attacchi informatici possono avere gravi conseguenze finanziarie. Lo studio 2026 di IBM ha stimato il costo medio globale di un data breach in 4,99 milioni di dollari. Le preoccupazioni per le minacce emergenti crescono anche: il World Economic Forum ha rilevato che l'87% degli intervistati considerava le vulnerabilità legate all'IA il rischio informatico in più rapida crescita durante il 2025.

Il potenziale impatto potrebbe crescere man mano che più aziende adottano gli SD-WAN — reti geografiche definite dal software che collegano più uffici e consentono alle aziende di gestire centralmente il traffico di rete. Il Dell'Oro Group prevede una crescita annuale dei ricavi SD-WAN del 14% fino al 2030. Man mano che queste reti si espandono, un controller centrale compromesso potrebbe interrompere le operazioni aziendali in più sedi, potenzialmente interessando aziende in diversi paesi.

Anche i mercati finanziari affrontano preoccupazioni simili riguardo alle interruzioni operative. Cryptopolitan ha precedentemente riportato tentativi di attacchi informatic contro importanti hedge fund, sollevando domande su una possibile ricaduta sui mercati crypto. Quegli incidenti erano separati dagli attacchi VeloCloud, ma evidenziano l'importanza di proteggere i sistemi critici.

Per le aziende che utilizzano VeloCloud, le priorità sono applicare le correzioni disponibili, verificare la presenza di segnali di compromissioni precedenti e proteggere i sistemi che collegano le loro reti di succursali.