Arista, VeloCloud Orchestrator'da Aktif Olarak Sömürülen Kritik SQL Enjeksiyon Açığını Duyurdu

Arista Networks, 22 Ekim tarihinde yayımladığı güvenlik danışma belgesinde VeloCloud Orchestrator (VCO) yazılımında aktif biçimde sömürülen sıfır gün SQL enjeksiyon açığını duyurdu. CVE-2026-114625 olarak izlenen ve CVSS ölçeğinde 9.9 puan alan bu açık, VeloCloud SD-WAN ağlarının merkezi yönetim altyapısını doğrudan hedef alıyor.
Açık, sisteme yalnızca salt okunur müşteri hesabıyla giriş yapmayı başaran bir saldırganın bile VCO üzerinde tam operatör ayrıcalıkları kazanmasına izin veriyor. Operatör rolü, orchestrator üzerindeki en üst düzey yetki katmanını temsil ediyor; bu sayede saldırgan yerel bir süper kullanıcı gibi hareket edebiliyor. Danışma belgesi ayrıca açığın orchestrator'ın barındırıldığı sunucuyu doğrudan etkileyebileceğini, yönetilen verilerin açığa çıkmasına, değiştirilmesine ya da kesintiye uğramasına yol açabileceğini de belirtiyor.

Açığı Tetiklemek İçin Gereken Koşullar​

Saldırının gerçekleşebilmesi için iki temel gereksinim bulunuyor: orchestrator'ın web arayüzüne ağ erişimi ve geçerli bir kullanıcı hesabı. Gerekli olan en düşük rol, müşteri kullanıcılarına atanan yerleşik en kısıtlı yetki düzeyi olan Enterprise Read Only. VCO, varsayılan olarak dışarıya açık durumda çalışıyor ve mevcut hiçbir yapılandırma seçeneği bu erişimi kısıtlamıyor.
VCO'nun yapısı gereği operatörler müşteri ve iş ortağı hesaplarını oluşturuyor; her iş ortağı da kendi müşteri grubunu yönetebiliyor. Açık, bu hiyerarşik yetki modelini aşarak saldırganın tüm sisteme tam erişim sağlamasının önünü açıyor. Danışma belgesi, saldırıların ne zaman başladığını, hangi orchestrator'ların etkilendiğini ya da saldırganların sisteme girdikten sonra ne yaptığını açıklamıyor.

Etkilenen ve Yamalanan Sürümler​

Şirket içi kurulumlar için düzeltmeler üç farklı sürüm dalında yayımlandı. 5.2 dalında VCO 5.2.3.18 ve sonrası, 6.1 dalında VCO 6.1.3.10 ve sonrası, 6.4 dalında ise VCO 6.4.2.12 ve sonrası bu açığı kapatıyor. Barındırılan (Hosted) ve Adanmış (Dedicated) orchestrator'lar ise güncellemeyi zaten almış durumda. VeloCloud Gateway ve VeloCloud Edge bileşenleri bu açıktan etkilenmiyor. 7.0 sürüm dalı da etkilenen listede yer almıyor; Arista, listede bulunmayan herhangi bir sürümün bu açığa karşı savunmasız olmadığını belirtiyor.
Dikkat çekici bir nokta şu: Temmuz ve Eylül aylarındaki açıklar için yayımlanan düzeltmeleri içeren sürümler, yeni yamalardan daha eski olduğundan bu sürümleri kullanan sistemler hâlâ risk altında. Eylül açığı (CVE-2026-93952) ise yalnızca 5.2 ve 6.4 dallarında kapatılmış durumda; 6.1 dalı için henüz düzeltilmiş bir sürüm listelenmiyor. Destek süresi sona ermiş sürümleri kullanan müşterilerin yükseltme seçenekleri için Arista'nın Teknik Destek Merkezi (TAC) ile iletişime geçmesi öneriliyor.

VeloCloud'da Üçüncü Sömürülen Açık​

Bu güvenlik açığı, Arista'nın geç Temmuz'dan bu yana VCO'da sömürüldüğünü bildirdiği üçüncü açık. Temmuz'daki CVE-2026-16812 ve Eylül'deki CVE-2026-93952 kodlu açıkların her ikisi de sisteme giriş gerektirmiyordu; yeni açık ise üçünün arasında kimlik doğrulaması gerektiren ilk örnek. Arista, VeloCloud SD-WAN ürün grubunu Temmuz 2025'te Broadcom'dan satın almıştı. Ürünler daha önce VMware SD-WAN by VeloCloud adıyla biliniyordu.

Acil Yama Yapılamazsa Alınması Gereken Önlemler​

Arista, düzeltilmiş sürüme geçiş sağlanana kadar uygulanması önerilen bir dizi geçici tedbiri de danışma belgesinde sıraladı:

• VCO web arayüzüne erişimi yalnızca güvenilir yönetim ağlarıyla sınırlandırmak
• VCO üzerindeki bağlantıları bilinen kötü amaçlı IP adresleri açısından izlemek
• VCO ana bilgisayarından gelen beklenmedik giden ağ trafiğini takip etmek
• Normal işleyişte gerekmeyen giden portları engellemek
• Arka kapı süreçlerini ve web kabukları (webshell) varlığını kontrol etmek
• Son yönetici etkinliğini beklenmedik değişiklikler açısından gözden geçirmek

\n

Saldırıyla İlişkilendirilen IP Adresleri ve Uzlaşma Göstergeleri​

Arista, saldırılarda kullanıldığı tespit edilen iki IP adresini kamuoyuyla paylaştı: 74.82.197[.]86 ve 38.54.50[.]151. Bu adreslerin engellenmesi ve günlük kayıtlarında herhangi bir iz bırakıp bırakmadığının incelenmesi öneriliyor.
Olası bir ele geçirme durumunu araştırmak için VCO web erişim günlüklerinde alışılmadık URL benzeri yol bileşenleri, kodlanmış karakterler, yerel veya dahili servislere yapılan referanslar ve yüksek istek oranlarına dikkat edilmesi gerekiyor. Bir uzlaşmadan şüphelenilmesi durumunda Arista, mümkün olan hallerde düzeltme işlemi yapılmadan önce kanıtların saklanmasını öneriyor; bu kapsamda VCO web erişim, arka uç uygulama, sistem ve veritabanı günlükleri ile ilgili dosya sistemi zaman damgaları korunmalı. Temmuz ve Eylül açıklarına ilişkin önceki danışma belgelerinde Arista, ele geçirilen bir orchestrator'ın saldırganlara VeloCloud Edge cihazlarına erişim de sağlayabileceği uyarısında bulunmuştu; ancak yeni açığa ait belgede bu riskin geçerli olup olmadığı ya da yükseltmenin saldırganın elde ettiği erişimi kaldırıp kaldırmadığı belirtilmiyor.

Sıkça Sorulan Sorular​

CVE-2026-114625 açığı neden bu kadar kritik değerlendiriliyor?​

Açık, CVSS ölçeğinde 9.9 puan alıyor ve sisteme yalnızca en düşük yetkili müşteri hesabıyla giriş yapabilen bir saldırganın bile orchestrator üzerinde tam operatör ayrıcalıkları kazanmasına olanak tanıyor. Ayrıca orchestrator'ın barındırıldığı sunucuyu etkileyebileceği ve yönetilen verilerin açığa çıkmasına, değiştirilmesine ya da kesintiye uğramasına yol açabileceği belirtiliyor.

Hangi VeloCloud Orchestrator sürümleri bu açıktan etkileniyor?​

5.2 dalında 5.2.3.18'den önceki sürümler, 6.1 dalında 6.1.3.10'dan önceki sürümler ve 6.4 dalında 6.4.2.12'den önceki sürümler etkileniyor. VeloCloud Gateway, VeloCloud Edge ve 7.0 sürüm dalı bu açıktan etkilenmiyor. Listede yer almayan sürümler de savunmasız değil.

Bu açık, VeloCloud'da daha önce bildirilen açıklardan nasıl ayrışıyor?​

Temmuz'daki CVE-2026-16812 ve Eylül'deki CVE-2026-93952 açıklarının aksine, CVE-2026-114625 istismar edilebilmesi için geçerli bir kullanıcı hesabına ihtiyaç duyuyor. Bu, Arista'nın geç Temmuz'dan bu yana VCO'da sömürüldüğünü bildirdiği üç açık arasında kimlik doğrulaması gerektiren ilk örnek.

Barındırılan ve Adanmış orchestrator kullanıcılarının ayrıca bir işlem yapması gerekiyor mu?​

Hayır. Danışma belgesine göre Barındırılan (Hosted) ve Adanmış (Dedicated) orchestrator'lar güncellemeyi zaten almış durumda. Acil önlemler ve yama uygulaması yalnızca şirket içi kurulumlar için geçerli.

Saldırıyla ilişkilendirilen IP adresleri neler ve nasıl kullanılmalı?​

Arista, saldırılarda kullanıldığı tespit edilen iki IP adresi paylaştı: 74.82.197[.]86 ve 38.54.50[.]151. Bu adreslerin güvenlik duvarı düzeyinde engellenmesi ve sistem günlüklerinde bu adreslerden herhangi bir bağlantı girişimi olup olmadığının incelenmesi öneriliyor.