22 октября 2026 года Arista Networks устранила активно эксплуатируемую zero-day уязвимость в VeloCloud Orchestrator, закравшись в брешь, которая позволяла атакующим с самым низким уровнем доступа на платформе захватить контроль над системой, используемой для управления сетевыми соединениями между несколькими площадками. Обозначение «zero-day» отражает тот факт, что уязвимость подвергалась атакам ещё до появления исправления. Arista приобрела платформу VeloCloud у Broadcom в 2025 году.

От аккаунта только для чтения до суперпользователя

Arista подробно описала уязвимость в рекомендации по безопасности 0199, в которой она идентифицируется как CVE-2026-114625 — уязвимость SQL-инъекции, то есть давний класс атак, при котором специально сформированные входные данные манипулируют запросами к базе данных, — с оценкой 9,9 из 10 по CVSS v3.1. Опасность заключается в том, какой объём контроля может получить атакующий с наименьшим уровнем привилегий.
Для эксплуатации требуется доступ к веб-интерфейсу и действительные учётные данные. Войдя в систему, атакующий может использовать SQL-инъекцию, чтобы повысить права аккаунта Enterprise Read Only — роли с наименьшими привилегиями на платформе — до привилегий оператора и выдать себя за суперпользователя. На практике аккаунт только для чтения может быть превращён в полный контроль над платформой. Arista подтвердила, что атакующие уже эксплуатировали уязвимость в реальных условиях.

Патчи и чек-лист форензики

Операторам локальных развертываний следует проверить версии своего ПО. Затронутые релизы в ветках 5.2.x, 6.1.x и 6.4.x требуют установки исправленных сборок 5.2.3.18, 6.1.3.10 и 6.4.2.12 соответственно, либо более поздних релизов этих веток. Развертывания Hosted и Dedicated, работающие на инфраструктуре, управляемой Arista, уже пропатчены. Локальные развертывания, которые ещё не перешли на исправленные сборки, тем временем остаются уязвимыми.

По данным Arista, обе атаки исходили с двух IP-адресов источников: 74.82.197.86 и 38.54.50.151. Компания рекомендует системным администраторам проверить подозрительные веб-запросы, неожиданные исходящие соединения и необычную активность администраторов. Также рекомендуется ограничить управленческий доступ доверенными сетями и сохранять соответствующие журналы на случай подозрения на компрометацию.

Третья уязвимость VeloCloud с лета

SQL-инъекция стала третьей активно эксплуатируемой уязвимостью, зафиксированной в VeloCloud Orchestrator за три месяца. Рекомендация Arista 0144, впервые опубликованная 27 июля 2026 года, касалась уязимости внедрения команд ОС, а ещё одна уязвимость была раскрыта 22 сентября в рекомендации 0183. В обоих случаях методы атак отличались от последней уязвимости, однако все три затронули одну и ту же центральную платформу управления.

Поскольку VeloCloud Orchestrator управляет соединениями между несколькими площадками, компрометация платформы может одновременно затронуть несколько сетей.

Патчи появляются после атак

Отраслевые данные отражают картину, когда эксплуатация опережает устранение. Согласно отчёту Verizon Data Breach Investigations Report 2026, на эксплуатацию уязвимостей пришлось 31% утечек данных, что вытеснило кражу учётных данных с позиции основного способа получения доступа к сетям. Эти результаты подчёркивают необходимость устранять уязвимости до того, как ими воспользуются атакующие.

На практике компании часто не успевают этого сделать. Согласно отчёту Google M-Trends 2026, атакующие эксплуатируют системные уязвимости в среднем в течение семи дней до появления исправления. В отчёте также отмечены угрозы для сетевых устройств, таких как VPN и маршрутизаторы, у которых отсутствует стандартный мониторинг конечных точек.

ИИ может усилить этот риск. В отдельном расследовании исследователи Google задокументировали, как атакующие использовали ИИ для планирования и проведения масштабной кампании по сбору учётных данных менее чем за шесть часов — операция, в ходе которой были скомпрометированы тысячи сторонних учётных данных. Подтверждённых доказательств участия ИИ в атаках на VeloCloud нет, однако выводы Google показывают, как операции с использованием ИИ позволяют атакующим действовать быстрее и потенциально наносить больший ущерб до того, как команды безопасности успеют отреагировать.

Почему последовательные исправления важны для растущего рынка

Кибератаки могут иметь серьёзные финансовые последствия. According to исследованию IBM 2026 года, средняя глобальная стоимость утечки данных оценивается в 4,99 млн долларов. Также растёт обеспокоенность новыми угрозами: по данным Всемирного экономического форума, 87% респондентов считают уязвимости, связанные с ИИ, самым быстрорастущим киберриском в 2025 году.

Потенциальное влияние может расти по мере того, как всё больше компаний внедряют SD-WAN — программно-определяемые глобальные сети, которые соединяют несколько офисов и позволяют компаниям централизованно управлять сетевым трафиком. Dell'Oro Group прогнозирует ежегодный рост доходов от SD-WAN на 14% до 2030 года. По мере расширения этих сетей компрометация центрального контроллера может нарушить бизнес-операции в нескольких локациях, потенциально затронув компании в разных странах.

Финансовые рынки сталкиваются с аналогичными опасениями по поводу операционных сбоев. Cryptopolitan ранее сообщала о попытках кибератак на крупные хедж-фонды, что вызвало вопросы о возможных последствиях для криптовалютных рынков. Эти инциденты не были связаны с атаками на VeloCloud, но они подчёркивают важность защиты критически важных систем.

Для компаний, использующих VeloCloud, приоритетами являются установка доступных патчей, проверка признаков прежней компрометации и защита систем, соединяющих их филиальные сети.