Arista VeloCloud Orchestrator: Zero-day ถูกโจมตีจริง Critical

CVE-2026-114625 | CVSS 9.9 | SQL Injection → Privilege Escalation

ช่องโหว่ต้องอาศัยบัญชีที่ล็อกอินได้ก่อน และยังไม่มีข้อมูลสาธารณะว่าผู้โจมตีคือใครหรือมีเหยื่อกี่ราย

Arista ออก Security Advisory 0199 แก้ช่องโหว่ SQL Injection (CWE-89) ใน VeloCloud Orchestrator (VCO) แบบ On-Prem ซึ่ง Arista ระบุว่าถูกโจมตีจริงแล้ว ผู้ใช้ที่ล็อกอินได้แม้มีเพียงสิทธิ์ Enterprise Read Only สามารถยกระดับเป็นสิทธิ์ operator และสวมรอยเป็น local superuser operator ได้ เวอร์ชันที่ได้รับผลกระทบ: 5.2.x ก่อน 5.2.3.18, 6.1.x ก่อน 6.1.3.10, 6.4.x ก่อน 6.4.2.12 — ให้อัปเดตเป็น 5.2.3.18 / 6.1.3.10 / 6.4.2.12 ขึ้นไป ระหว่างรอแพตช์: จำกัดการเข้าถึง web interface ของ VCO เฉพาะเครือข่ายที่เชื่อถือได้ ตรวจ access log หา URL ผิดปกติ/encoded characters และทราฟฟิกจาก IP 74.82.197.86, 38.54.50.151 ตามที่ Arista เผยแพร่ เป็น zero-day ตัวที่ 4 ของ Arista ที่ถูกโจมตีจริงในปี 2026 ตามรายงานของ BleepingComputer