Velocloud

Arista เตือนว่าช่องโหว่ SQL injection CVE-2026-114625 ใน VeloCloud Orchestrator ระบบจัดการกลางของ SD-WAN ถูกใช้โจมตีจริงเป็น zero-day ช่องโหว่มีคะแนน CVSS 9.9 ผู้ที่ล็อกอินได้แม้เป็นบัญชีลูกค้าระดับอ่านอย่างเดียวก็ยกสิทธิ์เป็น operator ซึ่งเป็นระดับควบคุมสูงสุดได้ แพตช์อยู่ใน VCO 5.2.3.18, 6.1.3.10 และ 6.4.2.12 ส่วนแบบ Hosted และ Dedicated แก้แล้ว นี่เป็นช่องโหว่ VCO ตัวที่ 3 ที่ถูกโจมตีตั้งแต่ปลายกรกฎาคม และ Arista พบ IP โจมตี 2 รายการ

ช่องโหว่ระดับความรุนแรงสูงสุด CVSS 10.0 ใน Arista VeloCloud Orchestrator (VCO) รุ่นติดตั้งภายในองค์กร กำลังถูกโจมตีจริงในวงกว้าง ช่องโหว่ CVE-2026-16812 เป็น OS command injection ที่เปิดทางให้ผู้โจมตีจากระยะไกลเข้าถึงฟังก์ชันภายในที่มีสิทธิ์สูงและรันโค้ดบนโฮสต์ VCO ได้ กระทบเวอร์ชัน 5.2.x, 6.1.x, 6.4.x และ 7.0.x ที่ยังไม่อัปเดต โดย Arista แจกสามไอพีที่ใช้โจมตีให้บล็อก ส่วน CISA เพิ่มช่องโหว่นี้เข้าแคตตาล็อก KEV และสั่งหน่วยงานรัฐบาลกลางสหรัฐฯ แพตช์ภายใน 30 กรกฎาคม 2569