Arista VeloCloud : zero-day CVSS 9.9 exploité, patchez VCO

Ce qui s'est passé

Arista Networks a publié le 22 octobre 2026 son Security Advisory 0199, révélant une vulnérabilité critique dans VeloCloud Orchestrator (VCO), la console centrale de gestion des réseaux SD-WAN de la gamme VeloCloud. La faille, référencée CVE-2026-114625 et classifiée CWE-89 (injection SQL), obtient un score CVSS 3.1 de 9,9 et un score CVSS 4.0 de 9,4 — des niveaux qui la placent dans la catégorie des urgences absolues pour toutes les organisations opérant des réseaux distribués sur cette plateforme.

Ce qui rend cette vulnérabilité particulièrement redoutable, c'est la barrière d'entrée quasi nulle qu'elle impose à l'attaquant. Selon les analyses publiées par The Hacker News et SecurityWeek, il suffit de disposer d'un compte Enterprise Read Only — le niveau d'accès le plus bas de la hiérarchie VeloCloud — pour exécuter l'injection SQL et s'élever au rang de superuser opérateur sur l'orchestrateur. Autrement dit, un prestataire, un auditeur externe ou tout utilisateur disposant d'un accès minimal peut compromettre l'intégralité de l'infrastructure SD-WAN supervisée par l'instance VCO ciblée.

L'exploitation ne nécessite qu'un accès réseau à l'interface web de l'orchestrateur et des identifiants valides. VeloCloud Orchestrator étant par conception accessible depuis Internet ou depuis des réseaux d'entreprise étendus pour permettre la gestion centralisée des branches, la surface d'attaque est structurellement large. Les analystes de malware.news et d'aviatrix.ai ont documenté deux adresses IP contrôlées par des attaquants observées en train d'exploiter activement la faille avant même la publication du correctif officiel par Arista.

Il s'agit en réalité du troisième zero-day corrigé dans VeloCloud Orchestrator en l'espace de quatre mois, un rythme d'exploitation qui trahit une attention soutenue et organisée des acteurs malveillants sur cette plateforme. Les deux précédentes vulnérabilités avaient également fait l'objet d'exploitation active, plaçant VCO sous surveillance constante de la communauté de sécurité offensive. Cette concentration d'efforts sur un même produit suggère soit que des chercheurs offensifs — étatiques ou cybercriminels — ont identifié des faiblesses architecturales profondes dans la base de code VeloCloud, soit que la valeur stratégique des réseaux SD-WAN qu'il orchestre justifie un investissement continu en recherche de vulnérabilités zero-day.

La gravité de CVE-2026-114625 réside dans ce qu'elle permet une fois le pivot superuser réalisé. L'orchestrateur VCO est le plan de contrôle des réseaux SD-WAN : il gère les politiques de routage, les configurations de tunnels IPsec et VPN entre les branches et le datacenter, les listes de contrôle d'accès, les segmentations réseau et la supervision des flux applicatifs. Un attaquant disposant des droits superuser peut reconfigurer silencieusement les tunnels pour rediriger du trafic, insérer des routes malveillantes, exfiltrer les configurations complètes de l'architecture réseau d'entreprise, ou implanter une backdoor persistante avant que l'intrusion ne soit détectée.

Arista a confirmé que les instances VCO hébergées dans le cloud par Arista ont été patchées automatiquement par l'éditeur, sans action requise des clients. En revanche, les déploiements on-premises — qui représentent une part significative des installations dans les secteurs financiers, industriels et gouvernementaux — nécessitent une intervention manuelle urgente des équipes IT. Les versions corrigées sont VCO 5.2.3.18, 6.1.3.10 et 6.4.2.12 selon la branche de déploiement. Toute instance tournant sur une version antérieure doit être considérée comme exposée et potentiellement compromise.

La CISA n'avait pas encore ajouté CVE-2026-114625 à son catalogue KEV (Known Exploited Vulnerabilities) au moment de la publication de l'advisory, mais la présence d'exploitation active documentée avant le patch laisse présager son ajout prochain. Cet ajout déclencherait une obligation de remédiation sous 21 jours pour les agences fédérales américaines et constituerait un signal fort pour les organisations du secteur privé.

Pour les organisations sans capacité de patching immédiat, les experts recommandent de restreindre l'accès à l'interface web de VCO aux seules adresses IP administratives via des règles de pare-feu ou de WAF, et de révoquer tout accès Enterprise Read Only non strictement nécessaire. La surveillance des logs d'authentification VCO à la recherche de patterns SQL anormaux dans les paramètres HTTP est également conseillée, bien que l'obfuscation reste possible pour des attaquants sophistiqués.

Pourquoi c'est important

La plateforme VeloCloud, acquise par VMware en 2017 puis héritée par Broadcom lors du rachat de VMware en 2023 avant d'être cédée à Arista en 2025, est déployée dans des milliers d'entreprises mondiales pour l'orchestration de réseaux SD-WAN multi-sites. Sa présence est particulièrement forte dans les secteurs de la distribution, de la finance, des télécommunications et des services managés, où les fournisseurs de services gérés utilisent un seul orchestrateur VCO pour superviser simultanément les réseaux de dizaines voire de centaines de clients.

Cette architecture multi-tenant est précisément ce qui rend CVE-2026-114625 potentiellement catastrophique dans un contexte MSP : un attaquant compromettant un orchestrateur mutualisé n'accède pas aux données d'un seul client mais à l'ensemble des réseaux gérés sur l'instance. C'est le scénario classique de la compromission en cascade par fournisseur, exactement le vecteur exploité dans les grandes attaques de supply chain réseau de ces dernières années, avec un impact potentiel démultiplié par la centralisation inhérente à VCO.

Le rythme de trois zero-days en quatre mois sur un même produit soulève une question structurelle sur la sécurité des plateformes SD-WAN. Ces solutions, conçues pour simplifier la gestion des réseaux distribués, sont devenues des cibles prioritaires car elles centralisent précisément ce que les attaquants convoitent : la visibilité complète sur les flux réseau, les accès à tous les segments, et les capacités de configuration à distance. En 2025, des vulnérabilités similaires dans les solutions SD-WAN de plusieurs éditeurs avaient été exploitées par des groupes APT à vocation d'espionnage industriel et gouvernemental.

Pour les RSSI et les équipes réseau, la fenêtre entre la découverte d'un zero-day et son exploitation active est désormais mesurée en heures, pas en jours. Le fait que deux IPs malveillantes aient été observées avant la publication du correctif confirme que des acteurs disposaient d'un accès anticipé à la vulnérabilité, soit par reverse engineering d'une fuite interne, soit par découverte indépendante. Cette réalité impose que la gestion des patches sur les composants de contrôle réseau soit traitée avec la même urgence que les mises à jour sur les périmètres directement exposés.

Ce qu'il faut retenir

• CVE-2026-114625 affecte toutes les versions VeloCloud Orchestrator antérieures à 5.2.3.18, 6.1.3.10 et 6.4.2.12 ; l'exploitation ne nécessite qu'un compte en lecture seule.
• Deux IPs ont été observées exploitant la faille avant la publication du patch ; les instances on-premises non mises à jour sont à considérer comme exposées.
• En l'absence de patch immédiat, restreindre l'accès à l'interface VCO aux seules IPs administratives de confiance est la mesure d'urgence prioritaire.