Arista VeloCloud steuert in vielen Konzernen die Netzverbindungen sämtlicher Filialen von einer einzigen Konsole aus. Für genau diese Konsole führt die US-Behörde CISA seit dem 27. Juli 2026 den Eintrag CVE-2026-16812 im Katalog der aktiv ausgenutzten Schwachstellen.[3] Der Schweregrad liegt bei 10.0, dem Höchstwert.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Das Wichtigste in Kürze
- CVE-2026-16812 erlaubt Befehlsausführung auf dem VeloCloud Orchestrator ohne jede Anmeldung, Schweregrad 10.0 von 10.
- Betroffen sind nur selbst betriebene Installationen der Zweige 5.2, 6.1, 6.4 und 7.0.
- CISA hat die Lücke am 27. Juli aufgenommen und den US-Bundesbehörden bis zum 30. Juli Zeit gegeben.
- Arista nennt drei Angreifer-Adressen für den Abgleich mit den eigenen Protokollen.
Warum wiegt eine Lücke im Orchestrator schwerer als eine im Einzelgerät?
Steuerzentrale: Der Orchestrator verwaltet Konfiguration, Tunnel-Schlüssel, Zugangsdaten und Richtlinien jedes angebundenen Edge-Geräts. Ein Angreifer mit Zugriff darauf erreicht alle Standorte auf einmal, während ein gekapertes Einzelgerät zunächst nur eine Filiale kostet.
Der Fehler: Dahinter steckt eine Betriebssystem-Befehlsinjektion nach CWE-78. Verwundbar ist eine Funktion, die Arista laut eigener Sicherheitsmeldung nur intern vorgesehen hatte und die trotzdem über das Netz erreichbar war.[1] Geschlossen ist die Lücke ab 5.2.3.14, 6.1.3.4, 6.4.2.4 und 7.0.0.1.
Wanderpokal: VeloCloud hat in acht Jahren dreimal den Eigentümer gewechselt: VMware 2017, Broadcom mit der VMware-Übernahme 2023, Arista im Juli 2025. Bei jeder Übergabe wandert Code an ein Team, das ihn nicht geschrieben hat, und undokumentierte Hilfsfunktionen überdauern solche Wechsel besonders zuverlässig.
Bekanntes Muster: Angriffe auf Geräte am Netzrand häufen sich. Bei Palo Alto Networks hat ein einziges gestohlenes Cookie der Qilin-Bande den Weg ins Firmennetz geebnet, und bei Check Point haben sich Angreifer ganz ohne Passwort Zugang verschafft.
Was verrät die Drei-Tage-Frist über CISAs neue Risikologik?
CISA bewertet Schwachstellen seit der Direktive BOD 26-04 nicht mehr nach dem CVSS-Wert, sondern nach vier Fragen: öffentlich erreichbar, aktiv ausgenutzt, automatisierbar, vollständige Kontrolle über das System. Viermal Ja ergibt die kürzeste Frist des Katalogs.
Die Direktive hat BOD 22-01 vom November 2021 und BOD 19-02 vom April 2019 abgelöst.[2] Statt einer einheitlichen Frist für jeden Katalogeintrag staffelt die Behörde nun nach Risiko, bis hin zum vollständigen Aufschub bei harmlosen Fällen.
Gleicher Tag, andere Uhr: Am 27. Juli hat CISA neben der Arista-Lücke eine FortiOS-Schwachstelle aufgenommen, dafür läuft die Frist bis zum 10. August. Von den 171 Katalogeinträgen des Jahres 2026 tragen 66 eine Frist von höchstens drei Tagen, darunter zwei für Ciscos SD-WAN-Verwaltung.
Eine Managementkonsole im offenen Internet ist kein Komfortmerkmal, sondern eine Abkürzung für den Angreifer. Die drei Tage Frist sind das ehrlichste Preisschild, das eine Behörde je an eine Fehlkonfiguration gehängt hat.
— Markus Seyfferth, Chefredakteur Dr. Web
Gleicher Katalogtag, zwei Uhren
Vier Fragen statt CVSS-Wert
- •Erreichbarkeit: Steht das System offen im Internet?
- •Katalogstatus: Wird die Lücke bereits aktiv ausgenutzt?
- •Automatisierung: Lässt sich der Angriff vollständig automatisieren?
- •Wirkung: Erhält der Angreifer teilweise oder vollständige Kontrolle?
In Deutschland läuft eine andere Uhr
- •24 Stunden: Erstmeldung eines erheblichen Vorfalls an das BSI
- •72 Stunden: ausführlicher Folgebericht
- •Bis zu 10 Millionen Euro: Bußgeldrahmen nach dem BSI-Gesetz
Was bedeutet das für Unternehmen in Deutschland?
Die CISA-Frist bindet nur US-Bundesbehörden. Deutsche Betreiber trifft ein anderer Zeitdruck: Nach dem NIS2-Umsetzungsgesetz melden wichtige und besonders wichtige Einrichtungen einen erheblichen Sicherheitsvorfall binnen 24 Stunden an das BSI.
Ein übernommener SD-WAN-Orchestrator erreicht diese Schwelle mühelos, weil daran die Anbindung aller Standorte hängt. Die Uhr läuft ab Kenntnis des Vorfalls, nicht ab dem Abschluss der Analyse.
Wie unvorbereitet der Mittelstand in diese Pflicht gegangen ist, hat das BSI selbst abgefragt. Zwar hat Brüssel 28.700 Mittelständler von der Hauptlast befreit, an der Haftung in vernetzten Produktionshallen ändert das nichts.
- Versionsstand prüfen: Alles unterhalb von 5.2.3.14, 6.1.3.4, 6.4.2.4 und 7.0.0.1 gilt als verwundbar.
- Die Weboberfläche des Orchestrators aus dem offenen Internet nehmen und auf ein Administrationsnetz begrenzen.
- Protokolle gegen die drei von Arista genannten Angreifer-Adressen abgleichen und nach unerwarteten Befehlen und Datenbank-Exporten suchen.
- Den Meldeweg zum BSI vorab festlegen, damit die 24-Stunden-Frist nicht mit der Suche nach dem Ansprechpartner beginnt.
Ein Patch allein beendet den Vorfall nicht. Nach dem Update gehören alle auf dem Orchestrator hinterlegten Zugangsdaten und Schlüssel erneuert, denn Arista rät ausdrücklich dazu, die Protokolle auch auf Datenbank-Exporte zu prüfen. Wie belastbar die eigenen Sicherungen im Ernstfall sind, zeigt sich genau an dieser Stelle.
Quellen
[1] Arista Networks: „Security Advisory 0144: VeloCloud Orchestrator OS Command Injection (CVE-2026-16812)“, 27. Juli 2026
[2] Cybersecurity and Infrastructure Security Agency: „BOD 26-04: Prioritizing Security Updates Based on Risk“
[3] Cybersecurity and Infrastructure Security Agency: „Known Exploited Vulnerabilities Catalog“, Fassung vom 27. Juli 2026
Mehr Newshunger?
- Qilin-Ransomware nutzt Palo-Alto-VPN-Lücke: Wenn ein Cookie die Firewall öffnet
- Check Point-VPN: Angreifer kommen ohne Passwort hinein
- LiteSpeed-cPanel-Plugin: CVE-2026-48172 aktiv ausgenutzt
- GitLab-Exploit ohne CVE: Warum der entscheidende Patch als Routine-Update durchging
- Jede vierte Datenpanne ist KI-gestützt und kostet 5,22 Millionen Euro
- Web App Firewall: So schützen Sie Ihr Unternehmen vor schädlichem Traffic
