Zum dritten Mal seit Juli schließt Arista eine bereits ausgenutzte Sicherheitslücke im VeloCloud Orchestrator, der zentralen Verwaltung für SD-WAN-Netze. Über CVE-2026-114625 erlangt ein Angreifer mit einem beliebigen Konto die höchsten Rechte. US-Bundesbehörden müssen bis Montag aktualisieren.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenAm Mittwoch veröffentlichte Arista seinen Sicherheitshinweis 0199, am Donnerstag nahm die US-Cybersicherheitsbehörde CISA die Lücke in ihren Katalog ausgenutzter Schwachstellen auf. Ihren Bundesbehörden lässt sie bis zum 26. Oktober Zeit.[1] Betroffen ist der VeloCloud Orchestrator in der Variante, die Unternehmen und Netzdienstleister auf eigenen Servern betreiben.[2]
Das Wichtigste in Kürze
- CVE-2026-114625 ist eine SQL-Injection mit 9,9 von 10 Punkten im Bewertungssystem CVSS.
- Schon ein Konto mit der Rolle „Enterprise Read Only“, die nur Leserechte hat, verschafft sich die Rechte eines Superuser-Operators.
- Sicher sind die Versionen 5.2.3.18, 6.1.3.10 und 6.4.2.12, die von Arista betriebenen Orchestratoren hat der Hersteller bereits aktualisiert.
- Seit dem 27. Juli ist das die dritte ausgenutzte Lücke im Orchestrator.
Was macht die Lücke so gefährlich?
Der Orchestrator ist die zentrale Verwaltung eines SD-WAN, von hier aus richten Unternehmen die Edge-Geräte ihrer Standorte ein. Ganz oben in seiner Rollenhierarchie steht der Operator, der Partner anlegt und Partnern wie Kundenkonten ihre Profile zuweist.[3] Laut Arista erreicht ein Angreifer über die Lücke interne Funktionen mit hohen Rechten und kann den Server selbst gefährden.[2]
Die Weboberfläche ist ab Werk aus dem Netz erreichbar, keine Einstellung verhindert das.[2] Arista hat den Fehler nach eigenen Angaben selbst entdeckt und bittet Betreiber, nach Webshells und Hintertüren zu suchen. Wie viele Kunden betroffen sind und wer hinter den Angriffen steht, nennt der Hersteller nicht.
Wie oft musste Arista hier schon nachbessern?
Arista hat das VeloCloud-Geschäft im Juli 2025 von Broadcom übernommen, das es mit VMware gekauft hatte.[4] Ende Juli 2026 konnten Angreifer ohne Anmeldung Befehle auf dem Orchestrator ausführen. Der Weg führte über eine interne Funktion, die nie aus dem Netz erreichbar sein sollte.[5] Im September folgte eine Lücke bei der zertifikatsbasierten Anmeldung der Edge-Geräte, ebenfalls ohne Konto und mit 10,0 Punkten.[6] Beide Lücken wurden ausgenutzt, ebenso eine im Switch-Betriebssystem EOS vom Frühjahr.[1]
Neu ist, dass diesmal ein Konto nötig ist, wenn auch nur eines mit Leserechten. Das Ziel bleibt dasselbe wie bei anderen Herstellern: die Verwaltungsschnittstelle, über die ein Angreifer viele Geräte auf einmal erreicht. Im Oktober 2024 traf es Fortinets FortiManager,[7] Mitte Oktober 2026 den Verwaltungszugang der Palo-Alto-Firewalls.
Drei ausgenutzte Lücken in drei Monaten zeigen, dass eine Verwaltungsoberfläche nicht offen im Netz stehen darf.
Michael Dobler, Herausgeber Dr. Web
Was müssen Betreiber in Deutschland jetzt tun?
Für wichtige und besonders wichtige Einrichtungen verlangt das BSI-Gesetz bei der Wartung ihrer IT ein Schwachstellenmanagement.[8] Zeigt ein Orchestrator Spuren eines Angriffs, kann das ein erheblicher Sicherheitsvorfall sein. Dann ist binnen 24 Stunden eine frühe Erstmeldung fällig.[9] Die Frist der CISA bindet dagegen nur US-Bundesbehörden.
Für eigene Orchestratoren gilt:
- Auf 5.2.3.18, 6.1.3.10 oder 6.4.2.12 aktualisieren, Versionen ohne Support hat Arista nicht geprüft.
- Bis dahin die Weboberfläche auf Verwaltungsnetze beschränken und die Adressen 74.82.197.86 und 38.54.50.151 sperren.
- Zugriffsprotokolle auf ungewöhnliche Pfade, kodierte Zeichen und hohe Anfrageraten prüfen und vor dem Aufräumen sichern.[2]
- Konten und Änderungen von Administratoren seit Juli durchsehen, denn für die neue Lücke genügt jedes Konto.
- Ausgehende Verbindungen des Servers überwachen und nicht benötigte Ports schließen.
Quellen
9 Quellen anzeigenQuellen ausblenden
- CISAKnown Exploited Vulnerabilities Catalog, Katalogversion 2026.10.23
- Arista NetworksSecurity Advisory 0199
- Arista NetworksVeloCloud SD-WAN 7.0 Operator Guide (PDF)
- The RegisterArista acquires VMware’s VeloCloud SD-WAN outfit from Broadcom
- Arista NetworksSecurity Advisory 0144
- Arista NetworksSecurity Advisory 0183
- NIST National Vulnerability DatabaseCVE-2024-47575
- Gesetz über das Bundesamt für Sicherheit in der Informationstechnik§ 30 BSIG, Risikomanagementmaßnahmen, Abs. 2 Nr. 5
- Gesetz über das Bundesamt für Sicherheit in der Informationstechnik§ 32 BSIG, Meldepflichten, Abs. 1 Nr. 1
Mehr Newshunger?
- Palo-Alto-Firewalls: Angreifer nutzen eine Lücke im Verwaltungszugang aus
- FortiBleed: FBI warnt vor 86.644 gekaperten Fortinet-Firewalls
- Cisco Nexus: Fünf kritische Lücken geben Angreifern Root-Rechte auf Switches
- Lücke in Broadcoms WLAN-Software: Viele Router lassen sich per Funk übernehmen
- BeyondTrust: Spionagegruppe nutzte die Fernwartungslücke seit Ende August
- Microsoft: Staatsnahe Hacker aus China griffen mit KI-Agenten über ConnectWise an
- Cybersecurity Grundlagen: Was KMU 2026 können müssen
