Eine mit dem Höchstwert bewertete Arista VeloCloud Sicherheitslücke wird derzeit aktiv angegriffen. Der Fehler mit der Kennung CVE-2026-16812 erreicht den maximalen CVSS-Score von 10.0 und erlaubt Angreifern die vollständige Übernahme des betroffenen Systems. Betroffen sind ausschließlich lokal betriebene Installationen (On-Premises) des VeloCloud Orchestrator (VCO) – der zentralen Management-Plattform für SD-WAN, die ursprünglich von VMware stammt und heute zu Arista gehört. Wer eine solche Instanz betreibt, sollte nicht abwarten, sondern sofort handeln.
Was die Arista VeloCloud Sicherheitslücke so gefährlich macht
Bei CVE-2026-16812 handelt es sich um eine sogenannte OS-Command-Injection. Vereinfacht gesagt: Ein Angreifer kann eigene Betriebssystem-Befehle über den Orchestrator einschleusen und ausführen. Laut Arista erreicht ein entfernter Angreifer damit privilegierte interne Funktionen, die eigentlich gar nicht von außen erreichbar sein sollten.
Klartext ins Postfach
KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.
Die Folgen sind gravierend. Eine erfolgreiche Ausnutzung kann Vertraulichkeit, Integrität und Verfügbarkeit des Orchestrators und der von ihm verwalteten Daten kompromittieren. Da der VCO als zentrale Steuerzentrale für SD-WAN-Netze dient, steht bei einer Übernahme oft gleich die gesamte Netzwerkorchestrierung offen.
Aktiv ausgenutzt und im CISA-Katalog
Die Lücke wird nicht nur theoretisch diskutiert, sondern nachweislich in freier Wildbahn ausgenutzt. Deshalb hat die US-Behörde CISA CVE-2026-16812 in ihren Katalog bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities, KEV) aufgenommen. US-Bundesbehörden müssen den Patch bis zum 30. Juli 2026 einspielen. Zeitgleich nahm die CISA auch eine – deutlich weniger kritische – FortiOS-Schwachstelle in ihren Katalog auf. Ein weiteres Signal, dass Netzwerk- und Edge-Geräte gerade besonders im Visier stehen. Wie schnell solche Appliance-Lücken ausgenutzt werden, zeigte zuletzt die kritische Check-Point-SmartConsole-Lücke.
Diese Versionen sind betroffen
Arista hat den Fehler in mehreren Zweigen geschlossen. Als sicher gelten laut Hersteller folgende und neuere Ausgaben:
- VCO 5.2.3.14 und neuer
- VCO 6.1.3.4 und neuer
- VCO 6.4.2.4 und neuer
- VCO 7.0.0.1 und neuer sind nicht verwundbar
Nur On-Premises-Installationen sind angreifbar. Die betroffene Funktion war ausdrücklich für den internen Gebrauch gedacht und sollte nie aus dem Internet erreichbar sein.
Was Sie jetzt tun sollten
Prüfen Sie zuerst, welche VCO-Version im Einsatz ist, und aktualisieren Sie umgehend auf eine der genannten korrigierten Fassungen. Bis der Patch läuft, hilft es, den Zugriff auf den Orchestrator strikt zu begrenzen: Die Verwaltungsschnittstelle gehört nicht ins offene Internet, sondern hinter VPN oder in ein abgeschottetes Management-Netz. Zusätzlich lohnt ein Blick in die Logs auf verdächtige Zugriffe, denn bei einer aktiv ausgenutzten Lücke kann eine Kompromittierung bereits stattgefunden haben.
Die Kernbotschaft ist klar: Ein CVSS-Score von 10.0 plus bestätigte Angriffe ist die dringendste Kombination, die es gibt. Hier zählt jede Stunde.
Quellen
- Arista Security Advisory 0144 (CVE-2026-16812)
- The Hacker News: Attackers Exploit Arista VeloCloud Orchestrator Command Injection Flaw
- BleepingComputer: Arista patches VeloCloud Orchestrator zero-day exploited in attacks
- Security Affairs: CISA adds Arista VeloCloud and Fortinet FortiOS to KEV
Diese Analysen als Newsletter
Ein Mal pro Woche Klartext zu KI, Security & Crypto – direkt in dein Postfach.
Jetzt anmelden