CVE-2026-16812 : Arista VeloCloud Orchestrator CVSS 10.0 ajouté au CISA KEV

Les faits

Le 27 juillet 2026, la CISA a inscrit CVE-2026-16812 dans son catalogue des vulnérabilités exploitées connues (KEV), confirmant officiellement que cette faille est activement utilisée dans des attaques réelles. La vulnérabilité, divulguée par Arista Networks dans son avis de sécurité Security Advisory 0144, cible les déploiements on-premises de VeloCloud Orchestrator (VCO), la plateforme de gestion centralisée des réseaux SD-WAN d'entreprise.

Le score CVSS atteint la valeur maximale de 10.0 : il s'agit d'une injection de commandes système non authentifiée. Un attaquant distant, sans aucune authentification préalable, peut envoyer des requêtes spécialement forgées vers l'interface de gestion VCO et faire exécuter des commandes arbitraires avec les privilèges du processus cible. La compromission peut s'étendre à l'intégralité de l'orchestrateur : topologies réseau, configurations des branches, politiques de QoS, identifiants des tunnels VPN, données de performance des liens.

VeloCloud Orchestrator est le plan de contrôle central des environnements SD-WAN d'entreprise basés sur la technologie VeloCloud, désormais intégrée à la suite réseau d'Arista Networks. Les VCO on-prem sont présents chez des organisations qui ont fait le choix de ne pas déléguer la gestion de leur fabric SD-WAN à un opérateur cloud. Ces systèmes pilotent des centaines, voire des milliers de VeloCloud Edge déployés en agences ou sites distants, ainsi que des VeloCloud Gateway assurant le transit des flux applicatifs.

Arista a précisé dans son avis officiel que les déploiements VeloCloud Orchestrator Hosted et Dedicated ont été patchés de manière préventive avant la publication de l'advisory public et ne sont pas affectés. Les VeloCloud Gateway et VeloCloud Edge ne sont pas non plus vulnérables à CVE-2026-16812. Seuls les VCO on-premises autonomes restent exposés si le correctif n'a pas encore été appliqué.

Un acteur malveillant disposant d'un accès réseau à l'interface d'administration VCO peut, en une seule requête, prendre le contrôle total de la fabric SD-WAN : rediriger silencieusement des flux de trafic, déployer des configurations malveillantes sur les Edge en branche, désactiver des politiques de segmentation réseau, exfiltrer l'intégralité des données de configuration, ou établir une persistance longue durée sur le réseau de l'organisation sans déclencher d'alerte perceptible.

À la date de publication, aucune attribution officielle à un groupe d'attaquants spécifique n'a été rendue publique. Cependant, les vulnérabilités CVSS 10.0 sur des infrastructures réseau d'entreprise sont historiquement des cibles prioritaires pour les groupes APT mandatés par des États — espionnage industriel, accès persistant aux réseaux — mais aussi pour les opérateurs ransomware qui cherchent à maximiser leur accès latéral avant de déclencher la phase de chiffrement. Le fait que la CISA ait ajouté cette CVE à son catalogue KEV confirme qu'au moins une exploitation réelle a été constatée avant cette publication.

Du côté des agences fédérales américaines soumises à la directive CISA BOD 22-01, les délais pour remédier aux vulnérabilités KEV sont stricts : généralement 15 jours pour les CVE critiques en exploitation active. Pour les entreprises du secteur privé, ces délais restent une référence de bonne pratique. Appliquer le correctif Arista avant la fin de la semaine en cours est la posture raisonnable face à une CVE 10.0 en exploitation confirmée.

Arista a publié les versions corrigées de VeloCloud Orchestrator. Les administrateurs doivent consulter l'avis Security Advisory 0144 pour identifier précisément les versions affectées et les builds de remplacement applicables à leur déploiement. Les numéros de version exacts varient selon la branche de maintenance installée ; il convient de suivre scrupuleusement les instructions du vendor pour éviter toute régression de service lors du passage au correctif.

Impact et exposition

Toutes les organisations ayant déployé VeloCloud Orchestrator en mode on-premises sans avoir appliqué le correctif Arista sont potentiellement exposées. La surface d'exploitation réelle dépend de l'accessibilité réseau de l'interface de gestion VCO. Si cette interface est exposée à Internet ou accessible depuis un segment réseau déjà compromis, le risque d'exploitation immédiate est très élevé. Les secteurs les plus exposés sont la banque-assurance, la grande distribution, les télécommunications et l'industrie, qui utilisent massivement les architectures SD-WAN pour interconnecter leurs sites.

Recommandations

• Appliquer immédiatement le correctif Arista sur toutes les instances VeloCloud Orchestrator on-premises — référencer l'avis Security Advisory 0144 pour les versions cibles exactes
• Isoler l'interface d'administration VCO dans un VLAN de gestion dédié, non joignable depuis Internet et depuis les réseaux utilisateurs ou production
• Auditer les logs VCO des 30 derniers jours à la recherche de requêtes anormales sur les API de gestion et de modifications de configuration non initiées par des administrateurs identifiés
• Vérifier l'intégrité des configurations Edge et Gateway — toute politique modifiée récemment sans action administrative documentée est suspecte
• Activer le MFA sur l'interface d'administration VCO comme mesure de défense en profondeur pérenne, en complément du correctif