Die Schwachstelle CVE-2026-16812 betrifft laut Arista ausschließlich lokale Bereitstellungen von VeloCloud Orchestrator. Hosted- und Dedicated-Installationen von VeloCloud Orchestrator seien bereits vor Veröffentlichung der Warnung gepatcht worden und nicht betroffen. Auch die Produkte VeloCloud Gateway und VeloCloud Edge sind nach Angaben des Unternehmens nicht anfällig für diese Lücke.
Arista beschreibt CVE-2026-16812 als extern entdeckte Schwachstelle, die aktiv ausgenutzt wird. Weitere Details dazu, wann die Angriffe begonnen haben, wer dahintersteckt oder auf welche Weise die Lücke im Detail ausgenutzt wird, veröffentlichte das Unternehmen nicht. Die US-Behörde CISA hat die Schwachstelle inzwischen in ihren Katalog der bekannt ausgenutzten Schwachstellen aufgenommen und damit bestätigt, dass sie in Angriffen eingesetzt wird.
Behoben ist der Fehler in den VCO-Versionen 5.2.3.14, 6.1.3.4 und 6.4.2.4 sowie in späteren Versionen. Aus der von Arista veröffentlichten Liste betroffener Software geht außerdem hervor, dass VCO ab Version 7.0.0.1 nicht verwundbar ist. Für Softwarestände ohne Support gibt es dagegen keine Bewertung, ob sie betroffen sind. Kunden mit nicht unterstützten Release-Zweigen empfiehlt Arista, das Arista Technical Assistance Center zu kontaktieren, um verfügbare Upgrade-Optionen zu besprechen.
CISA hat US-Bundesbehörden der zivilen Exekutive angewiesen, die Schwachstelle bis Donnerstag, 30. Juli 2026, entsprechend der Binding Operational Directive 22-01 zu entschärfen. Für die Zeit bis zur Installation der Updates rät Arista dazu, den Zugriff auf die VCO-Weboberfläche auf Administratornetzwerke zu beschränken, Verbindungen von bekannten bösartigen IP-Adressen zu überwachen und jüngste Administratoraktivitäten auf ungewöhnliche Änderungen zu prüfen.
Arista hat zudem drei IP-Adressen veröffentlicht, von denen die Ausnutzung der Schwachstelle beobachtet wurde. Administratoren sollen diese Adressen blockieren und Protokolle auf frühere Verbindungen prüfen. Zugleich betont das Unternehmen, dass eine Kompromittierung auch von anderen IP-Adressen ausgegangen sein kann und die Liste deshalb nicht abschließend ist.
Organisationen sollen VCO-Protokolle auf Anzeichen einer Ausnutzung untersuchen. Wenn ein Eindringen vermutet wird, empfiehlt Arista, vor Gegenmaßnahmen sämtliche Protokolle und Zeitstempel des Dateisystems zu sichern. Potenziell betroffene Organisationen sollen Zugangsdaten austauschen, Administratoraktivitäten überprüfen, verwaltete Geräte validieren und erwägen, kompromittierte Instanzen wiederherzustellen oder zu ersetzen.
Nach Einschätzung von Arista reicht das Einspielen des Sicherheitsupdates unter Umständen nicht aus, wenn Systeme bereits kompromittiert wurden. Das Unternehmen warnt außerdem, dass eine Übernahme einer VeloCloud-Orchestrator-Instanz Angreifern auch Zugriff auf VeloCloud-Edge-Geräte verschaffen könnte.