Arista VeloCloud'da Kritik SQL Açığı Aktif Saldırıda Kullanılıyor

Arista, VeloCloud SD-WAN ağlarının merkezi yönetim sistemi olan VeloCloud Orchestrator'da (VCO) tespit edilen kritik bir SQL injection açığının aktif saldırılarda istismar edildiğini duyurdu. Şirketin 22 Ekim tarihli danışma metnine göre CVE-2026-114625 olarak izlenen ve CVSS puanı 9,9 olan açık, sisteme giriş yapabilen herhangi bir kullanıcının, salt okunur müşteri hesabına sahip olsa bile en üst seviye kontrol olan operatör ayrıcalıkları elde etmesine olanak tanıyor.
Şirket içi (on-premises) orchestrator kullanan müşteriler için düzeltme VCO 5.2.3.18, 6.1.3.10 ve 6.4.2.12 sürümlerinde yayınlandı. Hosted ve Dedicated orchestratorların ise zaten yamalandığı bildirildi. Arista, VeloCloud SD-WAN ürün ailesini Broadcom'dan satın aldığını Temmuz 2025'te duyurmuştu. Ürünler daha önce VMware SD-WAN by VeloCloud olarak biliniyordu.
Danışma metninde saldırıların ne zaman başladığı, hangi orchestratorların hedef alındığı veya saldırganların istismar sonrası ne yaptığı konusunda bilgi verilmedi. Yeni açık, Arista'nın temmuz sonundan bu yana istismar edildiğini bildirdiği VCO'daki üçüncü açık olurken, giriş gerektiren ilk açık olma özelliğini taşıyor. Temmuz ayındaki açık (CVE-2026-16812) ve eylül ayındaki açık (CVE-2026-93952) için kimlik doğrulama gerekmiyordu.

Açık Nasıl İstismar Ediliyor ve Kimler Etkileniyor​

Açığın istismar edilebilmesi için saldırganın orchestratorın web arayüzüne ağ erişimine ve geçerli bir giriş bilgisine sahip olması gerekiyor. Arista'ya göre istismar için gereken en düşük rol, müşteri kullanıcıları için en düşük yerleşik rol olan Enterprise Read Only yetkisi. VCO varsayılan olarak internete açık durumda ve bu durumu engelleyecek bir VCO ayarı bulunmuyor.
VCO mimarisinde operatörler müşteri ve iş ortağı hesaplarını oluşturuyor, her iş ortağı bir grup müşteriyi yönetebiliyor. Söz konusu açık, saldırganın tam erişime sahip yerel süper kullanıcı gibi davranmasına izin veriyor. Ayrıca saldırganın VCO ana bilgisayarının kendisini de etkileyebileceği, orchestratorı ve yönettiği verileri ifşa edebileceği, değiştirebileceği veya bozabileceği belirtiliyor.
Arista, temmuz ve eylül aylarındaki açıklara yönelik düzeltmeleri içeren sürümleri çalıştıran orchestratorların da yeni açıktan etkilenmeye devam ettiğini vurguladı. Bunun nedeni, o düzeltmeleri içeren sürümlerin yeni yamaları barındıran sürümlerden daha eski olması.

Etkilenen Sürümler ve Yayınlanan Düzeltmeler​

Her sürüm treni için ayrı bir düzeltme yayınlandı. Arista'nın paylaştığı tabloya göre etkilenen ve düzeltilen sürümler şöyle sıralanıyor:

• 5.2 sürüm treni: 5.2.3.18 öncesi sürümler etkileniyor, 5.2.3.18 ve sonrası düzeltilmiş durumda. Eylül ayındaki CVE-2026-93952 açığı için düzeltme 5.2.3.16 idi.
• 6.1 sürüm treni: 6.1.3.10 öncesi sürümler etkileniyor, 6.1.3.10 ve sonrası düzeltilmiş durumda. Eylül ayındaki açık için bu trende listelenmiş bir düzeltme bulunmuyor.
• 6.4 sürüm treni: 6.4.2.12 öncesi sürümler etkileniyor, 6.4.2.12 ve sonrası düzeltilmiş durumda. Eylül ayındaki açık için düzeltme 6.4.2.8 idi.

\nVeloCloud Gateway ve VeloCloud Edge ürünlerinin bu açıktan etkilenmediği açıklandı. 7.0 sürüm treni listede yer almıyor ve Arista, listede bulunmayan hiçbir sürümün savunmasız olmadığını belirtiyor. Destek süresi sona ermiş sürümler için ise şirket herhangi bir kontrol gerçekleştirmedi. Desteklenmeyen bir sürüm trenindeki müşterilerin yükseltme seçenekleri için Arista Teknik Destek Merkezi (TAC) ile iletişime geçmesi isteniyor.
22 Ekim itibarıyla eylül ayındaki açık yalnızca 5.2 ve 6.4 trenlerinde düzeltilmiş durumda. 6.1 treninde açık 6.1.3.7'ye kadar olan sürümleri etkiliyor ve listelenmiş bir düzeltilmiş sürüm bulunmuyor. Her iki danışma metninde de 6.1.3.10 sürümünün eylül ayındaki açığı da düzeltip düzeltmediği konusunda bilgi yer almıyor.

Güncelleme Yapılamıyorsa Alınması Önerilen Önlemler​

Düzeltilmiş sürüm yüklenene kadar Arista, müşterilere VCO web arayüzüne erişimi yalnızca güvenilir yönetici ağlarıyla sınırlamalarını öneriyor. Ayrıca VCO'nun bilinen kötü amaçlı IP adreslerinden gelen bağlantılar açısından izlenmesi, VCO ana bilgisayarından beklenmeyen giden ağ etkinliğinin takip edilmesi ve normal çalışma için gerekmeyen giden portların engellenmesinin değerlendirilmesi tavsiye ediliyor.
Şirket, arka kapı servisleri ve webshell varlığına karşı dikkatli olunması ve son yönetici etkinliklerinin beklenmedik değişiklikler açısından gözden geçirilmesi gerektiğini de belirtiyor. Bu öneriler, yama uygulanana kadar riski azaltmaya yönelik geçici kontroller olarak sunuluyor.

Saldırı İzleri Nasıl Tespit Edilir​

Arista, saldırıları gerçekleştirdiği gözlemlenen iki IP adresini paylaştı ve bu adreslerin engellenerek loglarda izlerinin aranmasını istedi:

• 74.82.197.86
• 38.54.50.151

\nBunlara ek olarak VCO web erişim loglarının olağandışı URL benzeri yol bileşenleri, kodlanmış karakterler, yerel veya dahili hizmetlere referanslar ya da yüksek istek oranları açısından kontrol edilmesi gerekiyor. Bir uzlaşma şüphesi varsa, düzeltme işleminden önce mümkün olduğunca kanıtların korunması öneriliyor. Bu kapsamda VCO web erişim logları, arka uç uygulama logları, sistem ve veritabanı logları ile ilgili dosya sistemi zaman damgalarının saklanması isteniyor.
Temmuz ve eylül aylarındaki açıklara ilişkin uyarılarda Arista, ele geçirilen bir orchestratorın saldırganlara VeloCloud Edge cihazlarına erişim de sağlayabileceği konusunda uyarmıştı. Bu yeni açık için danışma metninde aynı riskin geçerli olup olmadığı veya yükseltme işleminin saldırganın zaten elde ettiği erişimi ortadan kaldırıp kaldırmadığı konusunda bir açıklama yer almıyor.

Sıkça Sorulan Sorular​

CVE-2026-114625 açığı nedir ve ne kadar kritik?​

CVE-2026-114625, Arista VeloCloud Orchestrator'da bulunan ve CVSS puanı 9,9 olan bir SQL injection açığıdır. Arista'nın 22 Ekim tarihli danışma metnine göre açık, sisteme giriş yapabilen bir kullanıcının operatör ayrıcalıkları elde etmesine ve yerel süper kullanıcı gibi davranmasına olanak tanıyor.

Açığı istismar etmek için ne gerekiyor?​

İstismar için saldırganın VCO web arayüzüne ağ erişimi ve geçerli bir giriş bilgisine ihtiyacı var. Gereken en düşük rol Enterprise Read Only, yani müşteri kullanıcıları için en düşük yerleşik rol. VCO varsayılan olarak açık durumda ve bunu engelleyecek bir ayar bulunmuyor.

Hangi sürümler etkileniyor ve düzeltme hangi sürümlerde?​

Şirket içi orchestratorlarda 5.2 treninde 5.2.3.18 öncesi, 6.1 treninde 6.1.3.10 öncesi ve 6.4 treninde 6.4.2.12 öncesi sürümler etkileniyor. Düzeltmeler sırasıyla 5.2.3.18, 6.1.3.10 ve 6.4.2.12 sürümlerinde. Hosted ve Dedicated orchestratorlar zaten yamalandı. VeloCloud Gateway ve Edge etkilenmiyor, 7.0 treni listede yer almıyor.

Saldırıların kaynağı olarak hangi IP adresleri paylaşıldı?​

Arista, saldırıları gerçekleştirdiği gözlemlenen iki IP adresini açıkladı: 74.82.197.86 ve 38.54.50.151. Bu adreslerin engellenmesi ve loglarda izlerinin aranması, ayrıca web erişim loglarında olağandışı yol bileşenleri ve kodlanmış karakterler gibi anormalliklerin kontrol edilmesi öneriliyor.

Bu açık temmuz ve eylül aylarındaki VCO açıklarından nasıl ayrılıyor?​

Bu açık, Arista'nın temmuz sonundan beri istismar edildiğini bildirdiği üçüncü VCO açığı. Önceki iki açık olan CVE-2026-16812 (Temmuz) ve CVE-2026-93952 (Eylül) için giriş gerekmiyordu, yeni açık ise giriş gerektiren ilk açık. Ayrıca temmuz ve eylül yamalarını içeren sürümler bile yeni yamadan daha eski olduğu için hala savunmasız durumda.