VeloCloud Orchestrator Zero-Day: CVE-2026-114625 wird ausgenutzt

Hinweis: Dieser Beitrag wurde mit KI-Unterstützung erstellt und automatisiert veröffentlicht.

Der dritte VeloCloud Orchestrator Zero-Day innerhalb von vier Monaten ist da: Arista hat am 22. Oktober 2026 das Security Advisory 0199 zu CVE-2026-114625 veröffentlicht. Die Lücke in der zentralen SD-WAN-Verwaltung wird laut Hersteller bereits aktiv ausgenutzt. Die CISA hat sie einen Tag später in ihren Katalog bekannter ausgenutzter Schwachstellen aufgenommen – mit Frist zum 26. Oktober.

Was in CVE-2026-114625 steckt

Es handelt sich um eine SQL-Injection (CWE-89) im On-Premises-Orchestrator. Arista bewertet sie mit CVSS v3.1 9.9 beziehungsweise CVSS v4.0 9.4. Angreifer können damit auf privilegierte interne Funktionen zugreifen und den VCO-Host beeinflussen; laut Advisory kann jeder authentifizierte Nutzer Operator-Rechte erlangen und sich als lokaler „superuser operator“ ausgeben.

Wichtig für die Risikobewertung sind zwei Details aus dem Advisory. Erstens braucht ein Angriff eine gültige Sitzung am VCO-Portal – es genügt aber die niedrigste eingebaute Mandantenrolle „Enterprise Read Only“. Zweitens schreibt Arista ausdrücklich, dass VCO standardmäßig exponiert ist und keine Konfiguration diese Exposition verhindert. Arista hat die Lücke selbst entdeckt und nennt zwei Angreifer-IPs: 74.82.197.86 und 38.54.50.151.

AD-Checkliste

Dein AD härten: 12 Sofortmaßnahmen

Das PDF mit Bordmitteln, PowerShell-Prüfbefehlen und 30-Tage-Reihenfolge – per Mail, sobald du deine Anmeldung zum Tech-&-Tacheles-Newsletter bestätigst.

E-Mail-Adresse *

Mit der Anmeldung erhältst du die AD-Checkliste als PDF und danach den Tech-&-Tacheles-Newsletter mit Einordnungen zu Security, KI und Crypto sowie gelegentlichen Hinweisen auf meine Bücher und Produktempfehlungen (auch Affiliate-Links) – eingetragen bist du erst nach Klick auf den Bestätigungslink in der E-Mail (Double-Opt-in). Ich werte aus, ob du den Newsletter öffnest und Links anklickst, um ihn zu verbessern. Abmeldung jederzeit über den Link in jeder E-Mail, Details in der Datenschutzerklärung.

Welche Versionen betroffen sind

• VCO 5.2.x vor 5.2.3.18
• VCO 6.1.x vor 6.1.3.10
• VCO 6.4.x vor 6.4.2.12

Die gehosteten und dedizierten VCO-Instanzen waren ebenfalls betroffen, sind laut Arista aber schon gepatcht. Handeln müssen also die Betreiber eigener On-Prem-Orchestratoren. Nicht betroffen sind nach Herstellerangabe VeloCloud Gateway und VeloCloud Edge sowie die EOS- und CloudVision-Produkte.

Dritter VeloCloud Orchestrator Zero-Day in vier Monaten

Und genau hier wird es interessanter als bei einer einzelnen Meldung. Es ist die dritte ausgenutzte Zero-Day-Lücke im selben Produkt seit Juli: zuerst CVE-2026-16812 (OS Command Injection, CWE-78), dann im September CVE-2026-93952 (mangelhafte Eingabeprüfung, CWE-20) und jetzt eine SQL-Injection. Drei Fehlerklassen, dieselbe Web-Oberfläche.

Das ist kein Zufall, sondern ein Muster. Alle drei Lücken folgen demselben Schema: Eingaben erreichen über die Weboberfläche eine Schicht, die ihnen zu viel vertraut. Wer das liest, sollte deshalb nicht nur den Patch einplanen, sondern auch damit rechnen, dass in diesem Code-Bereich weitere Funde warten.

Was das für dich bedeutet

Aus CISO-Sicht ist der Angriffsweg hier das eigentliche Thema. Eine SD-WAN-Steuerebene ist kein normaler Server: Sie konfiguriert alle Edges, also die Netzpfade einer ganzen Organisation. Wer den Orchestrator kontrolliert, muss keinen einzelnen Standort mehr angreifen. Nach 25 Jahren IT und vielen Identity-Projekten würde ich ein solches System in dieselbe Klasse einordnen wie einen Domain Controller oder eine Zertifizierungsstelle – Management-Ebene, höchste Schutzstufe.

Dazu kommt die Rollenfrage, die viele unterschätzen. Dass „Enterprise Read Only“ ausreicht, verschiebt das Risiko deutlich: Jeder Dienstleister-Zugang, jedes alte Testkonto und jedes nie abgemeldete Mandanten-Login wird damit zum vollwertigen Einstiegspunkt. Ein Lesezugriff ist in dieser Konstellation kein harmloser Zugriff. Panik ist trotzdem nicht angebracht – der Patch existiert, und der Kreis der betroffenen Systeme ist klar umgrenzt. Wer keinen eigenen VCO betreibt, ist hier nicht gemeint.

Konkrete Schritte für heute

• Patchen, nicht terminieren: Auf 5.2.3.18, 6.1.3.10 oder 6.4.2.12 aktualisieren. Die CISA-Frist für US-Bundesbehörden lautet 26. Oktober – ein brauchbarer Maßstab auch für private Betreiber.
• Erst Spuren sichern, dann aufräumen: Arista empfiehlt, Web-Access-Logs, Anwendungs- und Systemlogs, Datenbanklogs und Datei-Zeitstempel vor der Behebung zu sichern. Der KEV-Eintrag markiert die Lücke zusätzlich mit „forensic triage: yes“, verlangt also ausdrücklich eine forensische Sicherung. Ein Upgrade überschreibt sonst genau die Belege, die du bei einem Verdacht brauchst.
• Nach den beiden IPs suchen – in den Logs und, als Blockregel, am Perimeter.
• Mandantenkonten aufräumen: Alle VCO-Logins auflisten, inaktive und Dienstleisterzugänge deaktivieren, MFA erzwingen. Das senkt das Risiko auch bei der nächsten Lücke dieser Art.
• Oberfläche einschränken: Zugriff auf das VCO-Webinterface auf administrative Netze begrenzen und ausgehenden Verkehr des Hosts beobachten – Webshells und Backdoor-Daemons fallen dort am ehesten auf.

Mein Fazit: Der Patch ist Pflicht. Die ehrlichere Konsequenz aus drei Zero-Days in vier Monaten ist aber, diese Management-Oberfläche dauerhaft aus dem offenen Internet zu nehmen.

Quellen

• Arista Networks: Security Advisory 0199 (CVE-2026-114625), 22. Oktober 2026
• CISA: Known Exploited Vulnerabilities Catalog – Eintrag CVE-2026-114625 (hinzugefügt am 23. Oktober 2026, Frist 26. Oktober 2026)
• SecurityWeek: Attackers Exploit Third VeloCloud Orchestrator Zero-Day in Four Months
• NVD: CVE-2026-114625