Arista conferma: CVE-2026-93952 in VeloCloud attivamente…

Questo articolo si basa principalmente sul resoconto di The Hacker News, corroborato da fonti secondarie; non è disponibile un advisory vendor diretto. Arista

Questo articolo si basa principalmente sul resoconto di The Hacker News, corroborato da fonti secondarie; non è disponibile un advisory vendor diretto. Arista Networks ha confermato il 22 settembre 2026 che CVE-2026-93952, vulnerabilità di gravità massima nel VeloCloud Orchestrator on-premises, è attivamente sfruttata in rete. Il bug colpisce le installazioni che hanno abilitato l'autenticazione certificate-based tra Edge e Orchestrator. I rilasci corretti sono disponibili solo per i train 5.2 e 6.4, lasciando scoperti i rami 6.1 e 7.0.

Punti chiave

CVE-2026-93952 ha punteggio CVSS 3.1 di 10.0: accesso di rete, nessun privilegio richiesto, impatto completo su riservatezza, integrità e disponibilità con scope changed.
L'exploitation attivo è confermato da Arista con la formula "discovered externally and is known to be actively exploited": secondo il resoconto di The Hacker News, l'attaccante "requires no existing operator credentials".
Il vettore dipende dalla configurazione certificate-based: le deployment in modalità PSK non sono esposte.
La matrice di patching è incompleta: 5.2.3.16+ e 6.4.2.8+ sono disponibili, ma per 6.1.3.7 e precedenti e 7.0.0.2 e precedenti Arista non ha ancora rilasciato fix.

Fatti verificati

Il meccanismo

La vulnerabilità risiede in un difetto nell'interfaccia web di VeloCloud Orchestrator on-premises. Secondo il resoconto di The Hacker News, un attaccante con accesso di rete all'interfaccia web del VCO e in possesso della porzione pubblica del certificato di autenticazione Edge può accedere a funzionalità interne senza fornire credenziali di operatore.

SecurityOnline.info aggiunge che l'ambiente deve configurare esplicitamente l'autenticazione certificate-based: questa è una condizione stringente che segmenta la popolazione dei bersagli. Le installazioni che utilizzano la chiave pre-condivisa (PSK) rimangono fuori dalla superficie di attacco.

TheHackerWire ha pubblicato il vettore CVSS completo: AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. Il parametro S:C (Scope Changed) segnala che il compromesso dell'orchestrator può espandere la compromissione oltre il componente iniziale, verso i dispositivi Edge gestiti.

L'evidenza dell'exploitation e gli indicatori di compromissione

Arista ha fornito un indicatore tecnico specifico: il file vc-sysmond con hash MD5 dc78e206eaeadec59fc5801fe4556bd0, posizionato nel percorso /etc/systemd/system/vc-sysmon.service. The Hacker News riferisce che questo elemento è emerso nel contesto delle indagini sui sistemi compromessi, sebbene non sia chiaro se rappresenti un payload originale o un artefatto di post-exploitation.

Strix.ai, che cita il record CNA su CVE.org, conferma la struttura della vulnerabilità ma segnala che l'analisi NVD è ancora in corso. La convergenza sui dati fondamentali — CVE, punteggio, prodotti coinvolti, modalità di attacco — è solida tra quattro fonti primarie.

"This issue was discovered externally and is known to be actively exploited." — Arista Networks, via The Hacker News reporting

La matrice di patching

La distribuzione delle patch riflette una gestione del rilascio frammentata. Arista ha reso disponibili le correzioni per il train 5.2 dalla versione 5.2.3.16 in poi e per il train 6.4 dalla versione 6.4.2.8 in poi. Le versioni interessate sono: 5.2.3.15 e precedenti; 6.1.3.7 e precedenti; 6.4.2.7 e precedenti; 7.0.0.2 e precedenti.

Il punto critico è il mancato rilascio per i train 6.1 e 7.0. Le organizzazioni su questi rami non dispongono di upgrade sicuro. Arista non ha comunicato una timeline per il completamento della copertura. Le istanze hosted e Dedicated di VeloCloud Orchestrator, gestite direttamente dal vendor, risultano già aggiornate secondo tutte le fonti primarie.

Analisi e contesto

Il pattern ricorrente su VCO

CVE-2026-93952 non è un evento isolato. A luglio 2026 è emersa CVE-2026-16812, altrettanto classificata CVSS 10.0, che interessava il medesimo prodotto platform on-premises. La correlazione temporale — due vulnerabilità di gravità massima sulla stessa piattaforma in circa due mesi — suggerisce che gli orchestratori SD-WAN siano diventati un vettore di accesso iniziale ricorrente per attori offensivi.

La differenza tra le due falle è netta. CVE-2026-16812 riguardava un command injection nella gestione dei profili di configurazione, con impatto diverso e condizioni di attacco distinte. I rilasci che la correggevano — 5.2.3.14, 6.1.3.4, 6.4.2.4 — sono utilizzati da The Hacker News come ancora di confronto nella matrice versioni, ma non si sovrappongono tecnicamente a CVE-2026-93952. Sono CVE distinte con meccanismi e prerequisiti differenti.

Il paradosso della configurazione sicura

Un elemento di tensione emerge dai fatti verificati: l'autenticazione certificate-based, standardmente considerata più robusta della PSK, è proprio il prerequisito che espone alla vulnerabilità. Le organizzazioni che avevano adottato questa configurazione per elevare il livello di sicurezza si trovano ora nella popolazione a rischio, mentre le deployment PSK — tipicamente giudicate meno sicure — rimangono estranee alla superficie di attacco documentata. Questa inversione non invalida le best practice generali, ma sottolinea che la valutazione del rischio deve sempre integrare l'informazione sulle vulnerabilità note specifiche della piattaforma.

Cosa fare adesso

Verificare la modalità di autenticazione Edge-Orchestrator. Le organizzazioni devono determinare immediatamente se la propria installazione on-premises utilizza l'autenticazione certificate-based: solo queste configurazioni sono esposte.

Applicare le patch disponibili. Per i train 5.2 e 6.4, aggiornare rispettivamente a 5.2.3.16 o superiore e a 6.4.2.8 o superiore.

Valutare la postura per i train senza fix. Per le versioni 6.1 e 7.0, Arista non ha rilasciato correzioni al 22 settembre 2026. Le opzioni includono la migrazione verso i train supportati o l'attesa di aggiornamenti dal vendor.

Monitorare gli indicatori di compromissione. Verificare la presenza del file vc-sysmond con hash MD5 dc78e206eaeadec59fc5801fe4556bd0 nel percorso /etc/systemd/system/vc-sysmon.service.

Limiti delle fonti e incertezze

Non è noto quando siano iniziati gli attacchi, né il volume o l'ambito dell'exploitation. Non è stata identificata una proof-of-concept pubblica, né attribuito un attore specifico. Arista non ha specificato quale modalità di autenticazione certificate-based (Certificate Acquire o Certificate Required) sia vulnerabile. La timeline per i patch dei train 6.1 e 7.0 non è stata comunicata.

Le informazioni sono basate sulle fonti disponibili al momento della pubblicazione.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti

Ricevi DeafLetter