Arista beschreibt CVE-2026-16812 als Sicherheitsproblem in VeloCloud Orchestrator On-Premises, durch das ein entfernter Angreifer auf privilegierte interne Funktionen zugreifen und den VCO-Host beeinträchtigen kann. Nach Herstellerangaben könnte eine erfolgreiche Ausnutzung Vertraulichkeit, Integrität und Verfügbarkeit des Orchestrators sowie der vom Orchestrator verwalteten Daten kompromittieren. Die betroffene Funktion sei ausschließlich für den internen Gebrauch vorgesehen gewesen und habe nicht aus der Ferne erreichbar sein sollen.
Die Schwachstelle wurde laut Arista extern entdeckt und ist dem Unternehmen zufolge bereits aus aktiven Angriffen bekannt. Wann die Meldung einging und wie viele Kunden durch die missbräuchliche Nutzung der Lücke potenziell betroffen sein könnten, legte Arista nicht offen. Für gehostete und dedizierte VCO-Versionen sei das Problem bereits im Voraus behoben worden.
Als Kompromittierungsindikatoren veröffentlichte Arista drei IP-Adressen, die nach Angaben des Unternehmens für die Angriffe verantwortlich waren, und forderte Kunden auf, diese zu blockieren sowie Protokolle auf entsprechende Spuren zu prüfen. Bei Verdacht auf eine Kompromittierung sollten Betreiber nach Herstellerangaben nach Möglichkeit vor Gegenmaßnahmen die Web-Zugriffsprotokolle von VCO, Backend-Anwendungsprotokolle, Systemprotokolle, Datenbankprotokolle und relevante Zeitstempel des Dateisystems sichern.
Falls ein sofortiges Update auf eine bereinigte VCO-Version nicht möglich ist, empfiehlt Arista, den Zugriff auf die VCO-Weboberfläche auf vertrauenswürdige Administratornetzwerke zu beschränken. Zudem sollen Betreiber den VCO auf Zugriffe von bekannten bösartigen Quell-IP-Adressen überwachen, unerwartete ausgehende Netzwerkaktivitäten des VCO-Hosts prüfen und jüngste Administratoraktivitäten auf unerwartete Änderungen untersuchen.
Arista weist außerdem darauf hin, dass eine Kompromittierung der VCO-Plattform Angreifern auch Zugriff auf VeloCloud-Edge-Geräte verschaffen kann. In diesem Fall nennt das Unternehmen unter anderem den Austausch von Zugangsdaten, die Überprüfung von Administratoraktivitäten, die Validierung des Zustands verwalteter Geräte sowie die Wiederherstellung oder den Ersatz betroffener Orchestrator-Instanzen aus vertrauenswürdigen Quellen.
CISA hat CVE-2026-16812 in den KEV-Katalog aufgenommen und verlangt von Behörden der Federal Civilian Executive Branch, den Patch bis zum 30. Juli 2026 einzuspielen. Ebenfalls in den KEV-Katalog aufgenommen wurde CVE-2025-68686 in Fortinet FortiOS SSL-VPN, eine Schwachstelle mittlerer Schwere mit einem CVSS-Wert von 5,3. CISA begründet den Schritt auch hier mit Hinweisen auf aktive Ausnutzung. Fortinet hatte die Lücke bereits früher im Februar behoben.
Fortinet beschrieb CVE-2025-68686 damals als Preisgabe sensibler Informationen an einen nicht autorisierten Akteur in FortiOS SSL-VPN. Über speziell gestaltete HTTP-Anfragen könne ein entfernter, nicht authentisierter Angreifer den für den Mechanismus zur dauerhaften symbolischen Verlinkung entwickelten Patch umgehen, der in einigen Fällen nach einer Ausnutzung beobachtet worden sei. Voraussetzung sei allerdings, dass das Produkt zuvor bereits über eine andere Schwachstelle auf Dateisystemebene kompromittiert wurde.
Keine Details gibt es derzeit dazu, wie CVE-2026-16812 und CVE-2025-68686 konkret ausgenutzt werden, wie groß das Angriffsaufkommen ist und wer hinter den Angriffen steckt. Bundesbehörden haben bis zum 10. August 2026 Zeit, die Fortinet-Patches einzuspielen.
Unter Beschuss steht außerdem CVE-2026-16723 mit einem CVSS-Wert von 9,0, eine kritische Schwachstelle in Alibabas Fastjson-Bibliothek. Sie kann Remotecodeausführung ohne Benutzerinteraktion oder erhöhte Rechte ermöglichen und ist weiterhin ungepatcht. Entwickler, die Versionen 1.2.68 bis 1.2.83 einsetzen, sollen SafeMode aktivieren oder so schnell wie möglich auf einen nicht betroffenen Build wechseln.