Die Schwachstelle CVE-2026-16812 steckt nach Angaben von Arista Networks in VeloCloud Orchestrator On-Prem und wurde am Montag mit Updates behoben. Verfügbar sind die korrigierten Versionen 5.2.3.14, 6.1.3.4, 6.4.2.4 und 7.0.0.1. Andere Produkte nennt Arista nicht als betroffen.
Technisch handelt es sich um eine OS-Command-Injection. Laut Hersteller lässt sich der Fehler remote ausnutzen, um privilegierte interne Funktionen zu erreichen. Arista schreibt in seinem Sicherheitshinweis, eine erfolgreiche Ausnutzung könne die Vertraulichkeit, Integrität und Verfügbarkeit des Orchestrators und der vom Orchestrator verwalteten Daten kompromittieren.
Besonders brisant ist die niedrige Hürde für Angreifer. Arista betont, dass keine spezielle Konfiguration und keine Authentifizierung erforderlich sind. Wörtlich erklärt das Unternehmen, VCO sei standardmäßig exponiert, und es gebe keine Konfiguration, die diese Exponierung verhindern könne. Für einen erfolgreichen Angriff genüge Netzwerkzugriff auf die VCO-Weboberfläche; Zugangsdaten von Mandanten oder Operatoren seien nicht erforderlich.
Nach Angaben von Arista wurde die Schwachstelle extern entdeckt und ist nachweislich Gegenstand aktiver Angriffe. Damit handelt es sich nicht nur um einen theoretischen Fehler, sondern um ein bereits ausgenutztes Zero-Day-Problem. Am selben Tag nahm die US-Cybersicherheitsbehörde CISA CVE-2026-16812 in ihren Katalog der bekannten ausgenutzten Schwachstellen, den Known Exploited Vulnerabilities Catalog, auf. CISA forderte Bundesbehörden auf, die Lücke innerhalb von drei Tagen zu schließen, wie es die Vorgabe BOD 26-04 verlangt.
Für die Untersuchung möglicher Kompromittierungen empfiehlt Arista eine gezielte Auswertung mehrerer Logquellen. Verteidiger sollen die Webzugriffsprotokolle von VCO auf unerwartete Aktivitäten und ungewöhnliche pfadähnliche URL-Bestandteile prüfen. Zusätzlich sollen Backend-Anwendungsprotokolle und Systemprotokolle auf Folgeaktivitäten untersucht werden, darunter Anfragen von bösartigen IP-Adressen, ausgehender HTTP/S-Verkehr und privilegierte Aktionen außerhalb administrativer Arbeitsabläufe.
Darüber hinaus rät der Hersteller dazu, nach unerwarteten Vorgängen im Zusammenhang mit Befehlsausführung, Datenbankexporten, Dateierstellung und Zugriffen auf Geräteinventar, Konfigurationen, Zertifikate, Zugangsdaten und Schlüsselmaterial zu suchen. Falls ein Eindringen vermutet wird, sollten Betreiber nach Aristas Empfehlung vor Gegenmaßnahmen nach Möglichkeit die Webzugriffsprotokolle, Backend-Anwendungsprotokolle, Systemprotokolle, Datenbankprotokolle und relevante Zeitstempel des Dateisystems sichern.
Zusätzlich verweist CISA auf eine weitere aktuell ausgenutzte Schwachstelle: CVE-2025-68686. Fortinet hatte diese Kennung in diesem Jahr für eine Umgehung eines Patches bei ausgenutzten FortiOS-SSL-VPN-Schwachstellen vergeben, darunter CVE-2022-42475, CVE-2023-27997 und CVE-2024-21762.