CVE-2026-114625 : Arista VeloCloud zero-day SQL injection CVSS 9.9 exploité

Les faits

Le 22 octobre 2026, Arista Networks a divulgué une vulnérabilité zero-day activement exploitée dans VeloCloud Orchestrator (VCO), la plateforme de gestion centralisée des réseaux SD-WAN VeloCloud. La faille, enregistrée sous l'identifiant CVE-2026-114625, est scorée 9.9 sur l'échelle CVSS v3.1, la rendant de sévérité critique et parmi les plus graves de l'année pour les infrastructures réseau d'entreprise.

CVE-2026-114625 est une vulnérabilité d'injection SQL (CWE-89) présente dans le moteur de requêtes de l'interface de gestion VCO. La faille réside dans l'insuffisance de validation et d'assainissement des paramètres d'entrée transmis aux requêtes SQL internes de la plateforme. Un attaquant disposant d'un compte valide sur l'orchestrateur, même avec le rôle le moins privilégié disponible — «Enterprise Read Only» — peut forger des requêtes SQL spécialement conçues pour contourner les contrôles d'autorisation et s'attribuer les droits opérateur ou superutilisateur.

Selon l'advisory de sécurité publié par Arista Networks (Security Advisory SA-0087), le vecteur d'attaque est réseau (AV:N), la complexité est faible (AC:L), des privilèges basiques sont requis (PR:L), aucune interaction utilisateur n'est nécessaire (UI:N), et l'impact est total en termes de confidentialité, d'intégrité et de disponibilité (C:H/I:H/A:H). Le vecteur CVSS v3.1 complet est AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H, soit un score de 9.9.

La faille affecte les déploiements On-Premises de VeloCloud Orchestrator. Les versions concernées couvrent les branches 5.2.x jusqu'à la version 5.2.3.17 incluse, les versions 6.1.x jusqu'à 6.1.3.9, ainsi que les versions 6.4.x jusqu'à 6.4.2.11. Les orchestrateurs hébergés par Arista (Hosted et Dedicated VCO) ont été patchés de manière transparente par Arista avant la divulgation publique.

Cette divulgation survient dans un contexte particulièrement préoccupant pour la plateforme VeloCloud : CVE-2026-114625 est la troisième vulnérabilité VCO signalée comme activement exploitée depuis la fin juillet 2026, signe d'un intérêt croissant des acteurs malveillants pour les plateformes SD-WAN d'entreprise. Arista confirme dans son advisory avoir connaissance d'exploitations actives de cette faille avant que les correctifs ne soient disponibles pour les déploiements On-Prem.

Sur le plan technique, l'exploitation de CVE-2026-114625 est particulièrement préoccupante car elle ne requiert qu'un compte à faibles privilèges. Dans de nombreuses organisations, des comptes Enterprise Read Only sont accordés à des prestataires, des partenaires ou des équipes de supervision ayant un accès limité à l'orchestrateur. Un attaquant ayant compromis ces identifiants — via phishing, credential stuffing ou fuite de données — peut immédiatement escalader ses privilèges jusqu'au niveau superutilisateur et prendre le contrôle total de l'infrastructure SD-WAN.

En tant que superutilisateur VCO, un attaquant peut rediriger le trafic réseau, accéder à des configurations sensibles (clés de chiffrement, secrets VPN, informations d'authentification), déployer des configurations malveillantes sur des milliers de sites distants gérés par l'orchestrateur, ou exfiltrer la totalité des données de configuration réseau. L'impact potentiel sur la confidentialité et la continuité opérationnelle des entreprises concernées est majeur.

D'après les données disponibles chez BleepingComputer et SecurityOnline, les attaques observées exploitent cette faille dans un délai très court après la création ou la récupération de comptes à faibles privilèges. Aucun PoC public n'était disponible au moment de la divulgation, mais la faible complexité de l'exploitation et la publication de l'advisory détaillé rendent vraisemblable l'émergence de PoC publics dans les prochains jours selon Tenable et Rapid7.

Impact et exposition

VeloCloud Orchestrator est déployé par des milliers d'entreprises et de fournisseurs de services managés (MSP) dans le monde entier pour gérer des réseaux SD-WAN couvrant des centaines ou des milliers de sites distants. Les secteurs les plus exposés incluent la finance, la santé, le retail et les opérateurs télécom qui s'appuient sur VeloCloud pour leur connectivité critique.

Les déploiements On-Premises sont les seuls véritablement exposés, car les orchestrateurs hébergés par Arista ont déjà reçu le correctif. Toutefois, la proportion d'entreprises exploitant VCO en mode On-Prem reste significative, notamment parmi les grandes organisations souhaitant conserver le contrôle de leur infrastructure ou respecter des contraintes de souveraineté des données.

La surface d'attaque est amplifiée par la tendance à exposer les interfaces de gestion VCO sur Internet pour permettre l'administration à distance. Tout orchestrateur dont l'interface web est accessible depuis Internet et qui n'a pas encore appliqué le correctif est à considérer comme compromise jusqu'à preuve du contraire selon les recommandations de l'advisory Arista.

L'exploitation active confirmée et l'absence de contournement viable sans patch font de CVE-2026-114625 une priorité absolue de remédiation pour toutes les équipes gérant des déploiements VeloCloud On-Prem. Les indicateurs de compromission restent à ce stade limités, rendant la détection difficile sans analyse approfondie des logs d'audit VCO.

Recommandations immédiates

• Mettre à jour VeloCloud Orchestrator On-Prem vers la version 5.2.3.18, 6.1.3.10 ou 6.4.2.12 — advisory : Arista Networks Security Advisory SA-0087 (sans lien externe)
• Vérifier si votre déploiement est hébergé (Hosted/Dedicated VCO) : dans ce cas, le patch est déjà appliqué automatiquement par Arista
• Auditer immédiatement les logs d'accès VCO pour détecter toute connexion avec le rôle Enterprise Read Only suivie d'actions administratives inhabituelles
• Restreindre l'accès à l'interface de gestion VCO depuis Internet via des règles de pare-feu ou un VPN d'administration en attendant le patching
• Révoquer et régénérer tous les comptes à faibles privilèges (Enterprise Read Only, Enterprise User) et renforcer la politique MFA sur ces comptes
• Indicateurs de compromission : rechercher dans les logs les appels d'API VCO anormaux, les changements de rôle utilisateur inattendus, et les modifications de configuration réseau non planifiées