Arista Networks załatała 22 października 2026 r. aktywnie wykorzystywaną lukę zero-day w swoim VeloCloud Orchestrator, zamykając słabość, która pozwalała atakującym z najniższym poziomem dostępu do platformy przejąć kontrolę nad systemem zarządzającym połączeniami sieciowymi w wielu lokalizacjach. Określenie zero-day oznacza, że luka była atakowana, zanim pojawiła się poprawka. Arista przejęła platformę VeloCloud od Broadcom w 2025 r.

Od konta tylko do odczytu do superużytkownika

Arista opisała lukę w biuletynie bezpieczeństwa 0199, w którym zidentyfikowano ją jako CVE-2026-114625 — lukę typu SQL injection, czyli od lat znaną klasę ataków, w której spreparowane dane wejściowe manipulują zapytaniami do bazy danych — ocenioną na 9,9 w skali CVSS v3.1. Niebezpieczeństwo tkwi w tym, jak dużą kontrolę może uzyskać atakujący z najniższego poziomu uprawnień.
Wykorzystanie luki wymaga dostępu do interfejsu webowego oraz ważnych danych logowania. Po zalogowaniu atakujący może wykorzystać SQL injection do podniesienia konta Enterprise Read Only — roli o najniższych uprawnieniach na platformie — do uprawnień operatora i podszywania się pod superużytkownika. W praktyce konto tylko do odczytu można przekształcić w pełną kontrolę nad platformą. Arista potwierdziła, że atakujący już wykorzystali tę lukę w praktyce.

Poprawki i lista czynności kryminalistycznych

Operatorzy wdrożeń lokalnych powinni zweryfikować wersje swojego oprogramowania. Dotknięte wydania w liniach 5.2.x, 6.1.x i 6.4.x wymagają odpowiednio wersji poprawionych 5.2.3.18, 6.1.3.10 i 6.4.2.12 lub nowszych wydań w tych liniach. Wdrożenia Hosted i Dedicated, działające na infrastrukturze zarządzanej przez Aristę, zostały już załatane. Wdrożenia lokalne, które nie przeszły jeszcze na wersje poprawione, pozostają w międzyczasie narażone.

Według Aristy oba ataki pochodziły z dwóch adresów IP źródłowych: 74.82.197.86 i 38.54.50.151. Firma zaleca administratorom systemów zbadanie podejrzanych żądań webowych, nieoczekiwanych połączeń wychodzą oraz nietypowej aktywności administratorów. Rekomenduje również ograniczenie dostępu zarządczego do zaufanych sieci oraz zachowanie odpowiednich logów w przypadku podejrzenia naruszenia.

Trzecia luka w VeloCloud od lata

SQL injection to trzecia aktywnie wykorzystywana luga zgłoszona w VeloCloud Orchestrator w ciągu trzech miesięcy. Biuletyn 0144 Aristy, opublikowany po raz pierwszy 27 lipca 2026 r., dotyczył luki typu command injection, natomiast kolejna słabość została ujawniona 22 września w biuletynie 0183. Oba przypadki wiązały się z metodami ataku odmiennymi od najnowszej luki, ale wszystkie trzy dotyczyły tej samej centralnej platformy zarządzania.

Ponieważ VeloCloud Orchestrator zarządza połączeniami w wielu lokalizacjach, naruszenie tej platformy mogłoby jednocześnie skompromitować kilka sieci.

Poprawki przychodzą po eksploitach

Dane branżowe odzwierciedlają wzorzec, w którym wykorzystywanie luk wyprzedza ich naprawę. Z raportu Verizon 2026 Data Breach Investigations Report wynika, że wykorzystywanie luk stanowiło 31% naruszeń danych, wyprzedzając kradzież poświadczeń jako główną metodę uzyskiwania dostępu do sieci przez atakujących. Wyniki te podkreślają potrzebę usuwania luk przez firmy, zanim wykorzystają je atakujący.

W praktyce firmy często nie są w stanie tego zrobić. Z raportu Google M-Trends 2026 wynika, że atakujący wykorzystują luki w systemach średnio przez siedem dni, zanim dostępna stanie się poprawka. Raport zwrócił również uwagę na zagrożenia dla urządzeń sieciowych, takich jak VPN-y i routery, które nie są objęte standardowym monitorowaniem endpointów.

Sztuczna inteligencja może pogłębić ryzyko. W odrębnym śledztwie badacze Google udokumentowali, że atakujący wykorzystali AI do zaplanowania i przeprowadzenia kampanii masowego zbierania poświadczeń w mniej niż sześć godzin — operacji, która skompromitowała tysiące poświadczeń stron trzecich. Nie ma potwierdzonych dowodów na to, że AI odegrała rolę w atakach na VeloCloud, ale ustalenia Google pokazują, jak operacje wspierane przez AI mogą pomagać atakującym działać szybciej i potencjalnie wyrządzić większe szkody, zanim zespoły bezpieczeństwa zareagują.

Dlaczego kolejne poprawki mają znaczenie dla rosnącego rynku

Cyberataki mogą mieć poważne konsekwencje finansowe. Z badania IBM z 2026 r. wynika, że średni globalny koszt naruszenia danych wynosi 4,99 mln dolarów. Rosną są też obawy o nowe zagrożenia: według Światowego Forum Ekonomicznego 87% respondentównało luki związane z AI za najszybciej rosnące ryzyko cybernetyczne w 2025 r.

Potencjalny wpływ może rosnąć wraz z adopcją SD-WAN — programowo definiowanych sieci rozległych, które łączą wiele biur i pozwalają firmom centralnie zarządzać ruchem sieciowym. Dell'Oro Group prognozuje 14% roczny wzrost przychodów z SD-WAN do 2030 r. W miarę rozszerzania się tych sieci skompromitowany centralny kontroler mógłby zakłócić działalność operacyjną w wielu lokalizacjach, potencjalnie dotykając firm w różnych krajach.

Rynki finansowe mają podobne obawy dotyczące zakłóceń operacyjnych. Cryptopolitan wcześniej informowało o próbach cyberataków na główne fundusze hedgingowe, co rodzi pytania o możliwe rozprzestrzenienie się na rynki kryptońskie. Te incydenty były odrębne od ataków na VeloCloud, ale podkreślają znaczenie ochrony systemów krytycznych.

Dla firm korzystających z VeloCloud priorytetami są: zastosowanie dostępnych poprawek, sprawdzenie śladów wcześniejszej kompromitacji oraz zabezpieczenie systemów łączących sieci oddziałowe.