Arista Networks

A Arista Networks divulgou uma correção para uma vulnerabilidade de injeção de comandos com severidade máxima (10.0) no VeloCloud Orchestrator (VCO), uma plataforma de gerenciamento centralizada para SD-WAN. A falha, identificada como CVE-2026-16812, permite que atacantes remotos acessem funcionalidades privilegiadas que deveriam ser restritas ao uso interno. A vulnerabilidade é particularmente preocupante, pois não requer credenciais de acesso, apenas acesso à interface web do VCO. A Arista confirmou que a exploração da falha está em andamento, embora não tenha fornecido detalhes sobre o início dos ataques ou os responsáveis. As versões afetadas incluem VCO 5.2.x antes de 5.2.3.14, VCO 6.1.x antes de 6.1.3.4, VCO 6.4.x antes de 6.4.2.4 e VCO 7.0.x antes de 7.0.0.1. A empresa recomenda que os administradores restrinjam o acesso à interface web e monitorem atividades suspeitas. A CISA dos EUA também incluiu a CVE-2026-16812 em seu catálogo de vulnerabilidades conhecidas, exigindo que agências federais mitigem a falha até 30 de julho de 2026.