Arista Networks heeft op 22 oktober 2026 een actief misbruikt zero-day-gebrek in zijn VeloCloud Orchestrator gefixt, waarmee een lek werd dicht dat aanvallers met het laagste toegangsniveau van het platform in staat stelde de controle over te nemen over het systeem dat netwerkverbindingen op meerdere locaties beheert. De zero-day-aanduiding weerspiegelt dat het lek werd aangevallen voordat er een fix bestond. Arista nam het VeloCloud-platform in 2025 over van Broadcom.

Van read-only account naar superuser

Arista beschreef het lek in security advisory 0199, waarin het wordt geïdentificeerd als CVE-2026-114625, een SQL-injectiegebrek — een lang bestaande aanvalsklasse waarbij vervaardigde invoer databasequery's manipuleert — beoordeeld met 9,9 uit 10 onder CVSS v3.1. Het gevaar schuilt in hoeveel controle een aanvaller kan verkrijgen vanuit het laagste privilege-niveau.
Misbruik vereist toegang tot de webinterface en geldige inloggegevens. Eenmaal ingelogd kan een aanvaller de SQL-injectie gebruiken om een Enterprise Read Only-account — de rol met de minste rechten op het platform — te verheffen tot operatorrechten en zich voor te doen als superuser. In de praktijk kan een read-only account dus worden omgetoverd tot volledige controle over het platform. Arista bevestigde dat aanvallers het lek al in het wild hebben misbruikt.

Patches en een forensische checklist

Operators van on-premises implementaties moeten hun softwareversies controleren. Getroffen releases in de 5.2.x-, 6.1.x- en 6.4.x-takken vereisen respectievelijk de fixed builds 5.2.3.18, 6.1.3.10 en 6.4.2.12, of nieuwere releases binnen die takken. Hosted- en Dedicated-implementaties, die draaien op infrastructuur beheerd door Arista, zijn al gepatcht. On-premises implementaties die nog niet naar de fixed builds zijn gegaan, blijven in de tussentijd blootgesteld.

Volgens Arista kwamen beide aanvallen van twee bron-IP-adressen: 74.82.197.86 en 38.54.50.151. Het bedrijf adviseert systeembeheerders om verdachte webverzoeken, onverwachte uitgaande verbindingen en ongebruikelijke beheerdersactiviteit te onderzoeken. beveelt ook aan om beheertoegang te beperken tot vertrouwde netwerken en relevante logbestanden te bewaren in geval van een vermoedelijke inbreuk.

Het derde VeloCloud-gebrek sinds de zomer

De SQL-injectie is het derde actief misbruikte gebrek dat in drie maanden tijd in VeloCloud Orchestrator is gemeld. Arista's advisory 0144, voor het eerst uitgegeven op 27 juli 2026, betrof een command-injectiegebrek, terwijl een ander lek op 22 september werd openbaar gemaakt via advisory 0183. Beide betroffen aanvalsmethoden die verschilden van het nieuwste lek, maar alle drie troffen ze hetzelfde centrale beheerplatform.

Omdat VeloCloud Orchestrator verbindingen op meerdere locaties beheert, zou een inbreuk op het platform meerdere netwerken tegelijk kunnen compromitteren.

Patches komen na de aanvallen

Sectorgegevens weerspiegelen het patroon dat misbruik de remedie voorbijstreeft. Verizon bleek in het 2026 Data Breach Investigations Report dat misbruik van kwetsbaarheden goed was voor 31% van de datalekken, waarmee het gestolen inloggegevens overtrof als belangrijkste methode voor aanvallers om toegang tot netwerken te krijgen. De resultaten onderstrepen de noodzaak voor bedrijven om kwetsbaarheden te fixen voordat aanvallers ze kunnen uitbuiten.

In de praktijk lukt dat vaak niet. Google constateerde in het M-Trends 2026-rapport dat aanvallers systeemkwetsbaarheden gemiddeld zeven dagen misbruiken voordat er een fix beschikbaar is. Het rapport wees ook op bedreigingen tegen netwerkapparatuur zoals VPN's en routers, die geen standaard endpoint-monitoring hebben.

AI kan het risico vergroten. In een afzonderlijk onderzoek documenteerden Google-onderzoekers hoe aanvallers AI gebruikten om een grootschalige inloggegevens-oogstcampagne in minder dan zes uur te plannen en uit te voeren, een operatie waarbij duizenden inloggegevens van derden werden gecompromitteerd. Er is geen bevestigd bewijs dat AI een rol speelde bij de VeloCloud-aanvallen, maar de bevindingen van Google tonen hoe AI-ondersteunde operaties aanvallers sneller kunnen laten handelen en mogelijk meer schade kunnen aanrichten voordat securityteams kunnen reageren.

Waarom opeenvolgende fixes ertoe doen voor een groeiende markt

Cyberaanvallen kunnen ernstige financiële gevolgen hebben. IBM schatte in een studie uit 2026 de gemiddelde wereldwijde kosten van een datalek op $4,99 miljoen. De zorgen over opkomende bedreigingen nemen ook toe: het World Economic Forum stelde vast dat 87% van de respondenten AI-gerelateerde kwetsbaarheden beschouwde als het snelst groeiende cyberrisico in 2025.

De potentiële impact kan groeien nu meer bedrijven SD-WAN's adopteren — softwaregedefinieerde wide-area networks die meerdere kantoren verbinden en bedrijven in staat stellen netwerkverkeer centraal te beheren. Dell'Oro Group voorspelt tot 2030 een jaarlijkse SD-WAN-omzetgroei van 14%. Naarmate deze netwerken groeien, zou een gecompromitteerde centrale controller bedrijfsactiviteiten op meerdere locaties kunnen verstoren, mogelijk met gevolgen voor bedrijven in verschillende landen.

Financiële markten hebben vergelijkbare zorgen over operationele verstoringen. Cryptopolitan meldde eerder geprobeerde cyberaanvallen op grote hedgefondsen, wat vragen oproept over mogelijke overslag naar cryptomarkten. Die incidenten stonden los van de VeloCloud-aanvallen, maar onderstrepen het belang van het beschermen van kritieke systemen.

Voor bedrijven die VeloCloud draaien zijn de prioriteiten: de beschikbare patches toepassen, controleren op eerdere tekenen van compromittering en de systemen beveiligen die hun vestigingsnetwerken verbinden.