Aggiornamento

Questo articolo è un seguito dei nostri approfondimenti precedenti su VeloCloud Orchestrator: la prima zero-day di fine luglio (CVE-2026-16812) e la seconda di settembre (CVE-2026-93952). Oggi c'è uno sviluppo nuovo: una terza vulnerabilità, sfruttata attivamente, sullo stesso prodotto.

Cosa è successo

Arista Networks ha pubblicato l'advisory 0199 per la CVE-2026-114625, una SQL injection (CWE-89) nel VeloCloud Orchestrator (VCO) installato on-premise. Il punteggio CVSS è 9.9 nella versione 3.1 e 9.4 nella 4.0. Secondo Arista un utente già autenticato può ottenere privilegi di operatore e impersonare l'account locale di "superuser operator", arrivando a funzioni riservate all'uso interno e, di conseguenza, a riservatezza, integrità e disponibilità dell'orchestratore e dei dati che gestisce.

Arista afferma di aver rilevato lo sfruttamento attivo, e il 23 ottobre 2026 CISA ha inserito la vulnerabilità nel catalogo Known Exploited Vulnerabilities. Le versioni colpite sono tutte quelle precedenti a 5.2.3.18, 6.1.3.10 e 6.4.2.12, rispettivamente per i rami 5.2, 6.1 e 6.4. Le istanze hosted (incluse le Dedicated) erano interessate ma sono già state corrette da Arista; VeloCloud Gateway e Edge non risultano coinvolti. Per le release ormai fuori supporto Arista non ha effettuato valutazioni e rimanda al proprio TAC.

Un dettaglio tecnico pesa più del punteggio: per lo sfruttamento serve raggiungere l'interfaccia web e avere una sessione valida, ma basta il ruolo integrato più basso, quello di sola lettura a livello enterprise. Inoltre l'interfaccia del VCO è esposta di default e, secondo Arista, nessuna configurazione permette di evitarlo. Sono stati indicati due indirizzi sorgente osservati negli attacchi (74.82.197.86 e 38.54.50.151). Al momento non sono pubbliche né l'identità degli attaccanti né le attività successive alla compromissione, ed è bene non attribuire nulla finché non emergono evidenze.

Perché questa volta è diverso dalle precedenti

Le prime due falle erano sfruttabili senza credenziali o con un artefatto facile da ottenere (il certificato pubblico di un Edge). Questa richiede un account autenticato, e questo cambia il ragionamento sul rischio: l'abbassamento della barriera non sta nell'assenza di login, ma nel fatto che qualunque account, anche quello di un cliente finale con vista in sola lettura, diventa un trampolino verso il livello di superuser. In un VCO multi-tenant gestito da un operatore, questo significa che la separazione fra clienti poggia su un confine che un utente a basso privilegio può oltrepassare.

Tre zero-day in circa quattro mesi sullo stesso prodotto non sono un episodio isolato. Indicano che chi attacca ha individuato nel piano di controllo SD-WAN un obiettivo economicamente efficiente, e che l'attenzione dei ricercatori e degli attaccanti su questa base di codice è alta. È ragionevole aspettarsi altre correzioni: pianificare il patching come processo ricorrente, non come evento una tantum.

Cosa significa per le aziende italiane

In Italia SD-WAN VeloCloud arriva spesso attraverso operatori di telecomunicazioni e system integrator che offrono connettività gestita a catene retail, gruppi industriali, studi professionali e sedi della pubblica amministrazione. Chi ha un contratto di questo tipo di solito non vede l'orchestratore, non conosce la versione in esecuzione e non sa se il proprio fornitore l'abbia aggiornata. È il classico rischio di terza parte: la superficie d'attacco è sotto la responsabilità di qualcun altro, ma l'impatto (visibilità e possibile manipolazione del traffico di tutte le sedi) ricade sul cliente.

La correzione sulle istanze hosted di Arista non protegge chi usa un VCO on-premise di un operatore italiano: lì la patch dipende dal fornitore. La domanda concreta da fare per iscritto al proprio provider è: su quale release gira l'orchestratore che gestisce la mia rete, e quando è stato aggiornato a 5.2.3.18, 6.1.3.10 o 6.4.2.12 (o successive)?

Per le imprese che gestiscono il VCO in proprio il rischio è più immediato, perché si tratta di una falla attivamente sfruttata su un'interfaccia raggiungibile di default. Un'istanza non aggiornata e visibile da Internet va considerata a rischio di compromissione, non solo di compromissione futura.

Contesto normativo

Per i soggetti essenziali e importanti ai sensi della NIS2, la gestione del rischio sulla catena di fornitura e sulla sicurezza delle reti fa parte delle misure da dimostrare. Un'intrusione nel piano di controllo SD-WAN che causi un incidente significativo comporta gli obblighi di notifica ad ACN (pre-notifica entro 24 ore, notifica entro 72 ore). Se l'incidente coinvolge dati personali, scatta in parallelo la valutazione sulla notifica di violazione al Garante entro 72 ore ai sensi dell'art. 33 del GDPR. Dal punto di vista del consulente, la prova più utile in caso di verifica è una richiesta scritta al fornitore con la risposta sullo stato del patching, conservata insieme all'evidenza dell'avvenuta verifica dei log.

Cosa fare subito

  • Censire tutte le istanze VCO (proprie o gestite da terzi) e verificare release e ramo: la correzione è nelle versioni 5.2.3.18, 6.1.3.10 e 6.4.2.12 o successive dello stesso ramo.
  • Aggiornare le istanze on-premise appena possibile; Arista precisa che i controlli temporanei non sostituiscono l'aggiornamento.
  • Nell'attesa, limitare l'accesso all'interfaccia web a reti di amministrazione fidate o a una VPN di gestione.
  • Bloccare e cercare nei log gli indirizzi 74.82.197.86 e 38.54.50.151.
  • Cercare segnali di compromissione: traffico in uscita inatteso, webshell, demoni di backdoor, modifiche amministrative non spiegate e richieste web con componenti di percorso anomali o caratteri codificati.
  • Valutare il blocco delle porte in uscita non necessarie all'orchestratore.
  • Se si sospetta una compromissione, preservare log di web server, applicazione, sistema e database e i timestamp dei file prima di rimediare.
  • Se il VCO è gestito da un operatore, chiedere conferma scritta della versione e dell'esito della verifica di compromissione.
  • Rivedere gli account del VCO e rimuovere quelli di sola lettura non necessari, anche se non elimina il difetto.