Arista VeloCloud Sicherheitslücke CVE-2026-16812 aktiv ausgenutzt

Eine mit dem Höchstwert bewertete Arista VeloCloud Sicherheitslücke wird derzeit aktiv angegriffen. Der Fehler mit der Kennung CVE-2026-16812 erreicht den maximalen CVSS-Score von 10.0 und erlaubt Angreifern die vollständige Übernahme des betroffenen Systems. Betroffen sind ausschließlich lokal betriebene Installationen (On-Premises) des VeloCloud Orchestrator (VCO) – der zentralen Management-Plattform für SD-WAN, die ursprünglich von VMware stammt und heute zu Arista gehört. Wer eine solche Instanz betreibt, sollte nicht abwarten, sondern sofort handeln.

Was die Arista VeloCloud Sicherheitslücke so gefährlich macht

Bei CVE-2026-16812 handelt es sich um eine sogenannte OS-Command-Injection. Vereinfacht gesagt: Ein Angreifer kann eigene Betriebssystem-Befehle über den Orchestrator einschleusen und ausführen. Laut Arista erreicht ein entfernter Angreifer damit privilegierte interne Funktionen, die eigentlich gar nicht von außen erreichbar sein sollten.

Die Folgen sind gravierend. Eine erfolgreiche Ausnutzung kann Vertraulichkeit, Integrität und Verfügbarkeit des Orchestrators und der von ihm verwalteten Daten kompromittieren. Da der VCO als zentrale Steuerzentrale für SD-WAN-Netze dient, steht bei einer Übernahme oft gleich die gesamte Netzwerkorchestrierung offen.

AD-Checkliste

Dein AD härten: 12 Sofortmaßnahmen

Das PDF mit Bordmitteln, PowerShell-Prüfbefehlen und 30-Tage-Reihenfolge – per Mail, sobald du deine Anmeldung zum Tech-&-Tacheles-Newsletter bestätigst.

E-Mail-Adresse *

Mit der Anmeldung erhältst du die AD-Checkliste als PDF und danach den Tech-&-Tacheles-Newsletter mit Einordnungen zu Security, KI und Crypto sowie gelegentlichen Hinweisen auf meine Bücher und Produktempfehlungen (auch Affiliate-Links) – eingetragen bist du erst nach Klick auf den Bestätigungslink in der E-Mail (Double-Opt-in). Abmeldung jederzeit über den Link in jeder E-Mail, Details in der Datenschutzerklärung.

Aktiv ausgenutzt und im CISA-Katalog

Die Lücke wird nicht nur theoretisch diskutiert, sondern nachweislich in freier Wildbahn ausgenutzt. Deshalb hat die US-Behörde CISA CVE-2026-16812 in ihren Katalog bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities, KEV) aufgenommen. US-Bundesbehörden müssen den Patch bis zum 30. Juli 2026 einspielen. Zeitgleich nahm die CISA auch eine – deutlich weniger kritische – FortiOS-Schwachstelle in ihren Katalog auf. Ein weiteres Signal, dass Netzwerk- und Edge-Geräte gerade besonders im Visier stehen. Wie schnell solche Appliance-Lücken ausgenutzt werden, zeigte zuletzt die kritische Check-Point-SmartConsole-Lücke.

Diese Versionen sind betroffen

Arista hat den Fehler in mehreren Zweigen geschlossen. Als sicher gelten laut Hersteller folgende und neuere Ausgaben:

• VCO 5.2.3.14 und neuer
• VCO 6.1.3.4 und neuer
• VCO 6.4.2.4 und neuer
• VCO 7.0.0.1 und neuer sind nicht verwundbar

Nur On-Premises-Installationen sind angreifbar. Die betroffene Funktion war ausdrücklich für den internen Gebrauch gedacht und sollte nie aus dem Internet erreichbar sein.

Was Sie jetzt tun sollten

Prüfen Sie zuerst, welche VCO-Version im Einsatz ist, und aktualisieren Sie umgehend auf eine der genannten korrigierten Fassungen. Bis der Patch läuft, hilft es, den Zugriff auf den Orchestrator strikt zu begrenzen: Die Verwaltungsschnittstelle gehört nicht ins offene Internet, sondern hinter VPN oder in ein abgeschottetes Management-Netz. Zusätzlich lohnt ein Blick in die Logs auf verdächtige Zugriffe, denn bei einer aktiv ausgenutzten Lücke kann eine Kompromittierung bereits stattgefunden haben.

Die Kernbotschaft ist klar: Ein CVSS-Score von 10.0 plus bestätigte Angriffe ist die dringendste Kombination, die es gibt. Hier zählt jede Stunde.

Quellen

• Arista Security Advisory 0144 (CVE-2026-16812)
• The Hacker News: Attackers Exploit Arista VeloCloud Orchestrator Command Injection Flaw
• BleepingComputer: Arista patches VeloCloud Orchestrator zero-day exploited in attacks
• Security Affairs: CISA adds Arista VeloCloud and Fortinet FortiOS to KEV