C'è un nuovo zero-day da punteggio pieno nel mondo delle appliance di rete, e questa volta tocca il cuore delle reti SD-WAN. Arista ha pubblicato lunedì 27 luglio un advisory per la CVE-2026-16812, una vulnerabilità di iniezione di comandi nel sistema operativo di VeloCloud Orchestrator (VCO), la piattaforma centralizzata con cui si configurano, monitorano e gestiscono le installazioni SD-WAN VeloCloud e i dispositivi edge collegati. Il punteggio CVSS è 10.0, il massimo della scala, e lo sfruttamento attivo in rete è confermato dallo stesso produttore.

Cosa è successo

Secondo l'advisory di Arista, la falla permette a un attaccante remoto di raggiungere funzionalità interne privilegiate che non avrebbero mai dovuto essere esposte all'esterno. Non servono credenziali di alcun tipo: è sufficiente poter raggiungere l'interfaccia web dell'orchestratore, che per design è esposta e non offre opzioni di configurazione per limitarla. L'exploit porta all'esecuzione di codice arbitrario e, nelle parole del vendor, può compromettere riservatezza, integrità e disponibilità dell'orchestratore e di tutti i dati che gestisce.

Le versioni on-premises colpite riguardano quattro rami: 5.2.x prima della 5.2.3.14, 6.1.x prima della 6.1.3.4, 6.4.x prima della 6.4.2.4 e 7.0.x prima della 7.0.0.1. Le istanze Hosted e Dedicated gestite direttamente da Arista erano già state aggiornate prima della pubblicazione dell'advisory, mentre i prodotti VeloCloud Gateway ed Edge non risultano vulnerabili. Un'avvertenza importante riguarda le versioni fuori supporto: Arista non le ha nemmeno valutate, quindi chi le usa deve considerarle potenzialmente esposte e contattare l'assistenza per pianificare la migrazione.

La vulnerabilità è stata scoperta esternamente ed era già sfruttata prima del rilascio della patch: uno zero-day in piena regola. Come indicatori di compromissione Arista ha condiviso tre indirizzi IP osservati negli attacchi: 8.19.75.217, 206.72.242.124 e 206.72.242.162, precisando però che la lista non è esaustiva. La CISA americana ha aggiunto la falla al catalogo KEV delle vulnerabilità sfruttate, imponendo alle agenzie federali di rimediare entro il 30 luglio: una scadenza di appena tre giorni, quando lo standard è di tre settimane. È il segnale più chiaro di quanto il rischio sia considerato concreto.

Perché l'orchestratore è il bersaglio perfetto

Il punto debole non è un singolo apparato, ma il sistema che li comanda tutti. Un orchestratore SD-WAN detiene configurazioni, credenziali, certificati e inventario di ogni sede collegata: chi lo compromette non viola una rete, ma acquisisce la capacità di manipolarle tutte. Arista stessa avverte che la compromissione del VCO può estendersi ai dispositivi VeloCloud Edge gestiti, cioè agli apparati installati nelle filiali e nelle sedi periferiche.

È lo stesso schema che il 2026 sta confermando mese dopo mese: gli attaccanti puntano sempre meno agli endpoint protetti da EDR e sempre più alle infrastrutture di gestione e ai dispositivi perimetrali, dove la visibilità dei difensori è minima e il valore di ogni singola compromissione è massimo. La lista recente parla da sola: SonicWall SMA, Check Point SmartConsole, Citrix NetScaler, e ora l'SD-WAN. Il perimetro è diventato la superficie d'attacco preferita, e gli strumenti di amministrazione centralizzata sono la sua evoluzione naturale: un solo exploit, centinaia di reti.

Cosa significa per le aziende italiane

In Italia l'SD-WAN è ormai lo standard di fatto per le organizzazioni distribuite: grande distribuzione, banche con reti di filiali, manifatturiero multi-sito, sanità territoriale. Nella maggior parte dei casi, però, il servizio non è gestito internamente ma acquistato come SD-WAN gestito da operatori di telecomunicazioni, system integrator o MSP. Questo cambia la natura del problema: molte aziende italiane potrebbero essere esposte a questa falla senza nemmeno sapere di usare VeloCloud, perché l'orchestratore vive nell'infrastruttura del fornitore.

Per i soggetti essenziali e importanti sotto NIS2, questo è un caso da manuale di rischio di catena di fornitura: l'articolo 21 della direttiva richiede espressamente di presidiare la sicurezza dei fornitori di servizi. Chiedere oggi al proprio provider SD-WAN se utilizza VCO on-premises, se ha applicato la patch e se ha verificato i log rispetto agli IP indicati da Arista non è eccesso di zelo: è esattamente il tipo di diligenza che un'ispezione ACN si aspetterebbe di trovare documentata. E se dalla verifica emergesse una compromissione con impatto sui servizi, scatterebbero gli obblighi di notifica a CSIRT Italia: pre-allarme entro 24 ore e notifica dettagliata entro 72 ore dalla conoscenza dell'incidente, oltre all'eventuale notifica al Garante Privacy se sono coinvolti dati personali.

Cosa fare subito

  • Aggiornare immediatamente alle versioni corrette: 5.2.3.14, 6.1.3.4, 6.4.2.4 o 7.0.0.1 e successive. Con sfruttamento attivo confermato, la finestra di intervento si misura in ore, non in settimane.
  • Limitare l'accesso all'interfaccia web del VCO alle sole reti amministrative fidate, se l'aggiornamento non è possibile subito.
  • Bloccare e cercare nei log i tre IP indicati da Arista, ricordando che l'assenza di riscontri non garantisce l'assenza di compromissione.
  • Cercare segnali di sfruttamento: richieste web anomale con caratteri codificati, traffico HTTP/HTTPS in uscita inatteso dall'host VCO, modifiche di configurazione non autorizzate, esportazioni di database o creazione di archivi sospetti.
  • In caso di sospetta compromissione: preservare log e timestamp del filesystem prima di qualunque bonifica, ruotare tutte le credenziali, validare lo stato dei dispositivi Edge gestiti e valutare il ripristino dell'orchestratore da fonti fidate. La sola patch non basta se l'attaccante è già entrato.
  • Se l'SD-WAN è gestito da un fornitore: chiedere conferma scritta della versione in uso, della data di applicazione della patch e dell'esito delle verifiche sugli indicatori di compromissione.