Il 23 ottobre 2026 il CSIRT Italia, il centro nazionale che fa capo all’Agenzia per la cybersicurezza nazionale, ha pubblicato un alert su una vulnerabilità di Arista Networks già sfruttata in rete. Riguarda VeloCloud Orchestrator (VCO) On-Prem, la piattaforma con cui si configurano, si monitorano e si amministrano le reti VeloCloud, cioè infrastrutture SD-WAN (reti geografiche gestite via software). Secondo l’alert la gravità è “critica”: la falla, identificata come CVE-2026-114625, ha un punteggio CVSS v3.1 di 9.9. Il CSIRT valuta l’impatto sistemico come “critico” (79.35).
Chi è coinvolto
Il prodotto interessato è Arista Networks VeloCloud Orchestrator (VCO) On-Prem. Secondo l’alert sono affette queste versioni:
- 5.2.x, versioni precedenti alla 5.2.3.18
- 6.1.x, versioni precedenti alla 6.1.3.10
- 6.4.x, versioni precedenti alla 6.4.2.12
Il fornitore precisa che le versioni giunte a fine supporto (EOL, end of life) non sono state valutate. Chi le usa ancora dovrebbe rivolgersi al supporto tecnico di Arista (TAC) per capire come passare a una versione supportata.
Che rischio c’è
La vulnerabilità è di tipo SQL Injection: l’attaccante inserisce comandi nelle richieste rivolte al database del sistema, che li esegue come se fossero legittimi. Secondo l’alert, un attaccante remoto che abbia già un accesso autenticato può sfruttarla anche con il ruolo minimo, Enterprise Read Only, che in teoria consente solo la lettura.
In questo modo può impersonare un account locale “superuser operator” e ottenere privilegi operativi elevati. Ha così accesso a funzioni interne che normalmente non sono raggiungibili da remoto. L’alert indica come conseguenza possibile la compromissione dell’orchestratore e dei dati che gestisce.
Lo sfruttamento della falla in rete è stato rilevato da Arista Networks. La tabella dell’alert segna lo sfruttamento come “presente”.
Cosa fare
Come indicato dal fornitore, il CSIRT Italia raccomanda di aggiornare tempestivamente i prodotti vulnerabili, seguendo le indicazioni del bollettino di sicurezza di Arista (security advisory 0199), citato tra i riferimenti dell’alert.
Il CSIRT consiglia inoltre di valutare l’inserimento nei propri apparati di sicurezza degli Indicatori di Compromissione (IoC), cioè le tracce tecniche che aiutano a riconoscere un attacco in corso o già avvenuto. L’alert avverte che non tutti gli indicatori sono per definizione malevoli e che il CSIRT non risponde delle azioni proattive, come l’inserimento in blocklist, decise a partire da questi dati.
Come ulteriori precauzioni, è utile verificare quale versione di VCO è in uso e avvisare per tempo il fornitore IT o il gestore della rete, se la piattaforma è affidata a terzi.
Fonte: alert AL01/261023/CSIRT-ITA del CSIRT Italia, Agenzia per la cybersicurezza nazionale, pubblicato il 23 ottobre 2026 (impatto sistemico critico). Leggi l’alert originale.
