CVE-2026-114625 vise Arista VeloCloud Orchestrator (VCO) en déploiement on-prem. Publiée par NVD le 22 octobre 2026, elle est entrée au catalogue CISA KEV le lendemain, le 23 octobre, avec une échéance au 26 octobre.
C'est la troisième CVE VCO au KEV depuis l'été, après CVE-2026-16812 en juillet et CVE-2026-93952 en septembre. Et le point qui compte le plus : les bornes de version ont encore monté. Une instance corrigée pour la faille de septembre peut être vulnérable à celle-ci.
La vulnérabilité
| Champ | Valeur |
|---|---|
| CVE | CVE-2026-114625 |
| CVSS 3.1 (Arista) | 9.9 (CRITICAL) — AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H |
| CVSS 4.0 (Arista) | 9.4 (CRITICAL) — AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H |
| Type | Injection SQL (CWE-89) |
| Privilèges requis | Un compte authentifié, quel qu'il soit |
| Publication NVD | 2026-10-22 |
| Ajout CISA KEV | 2026-10-23 |
| Échéance CISA | 2026-10-26 |
Les deux scores sont ceux d'Arista (CNA). NVD a analysé l'entrée (configurations CPE publiées) sans publier de score propre.
Description NVD (extrait) :
On an affected system, any authenticated user can gain operator privileges and masquerade as a local "superuser operator" user. This includes access to functionality that is intended for internal use only and which is not intended to be remotely accessible.
De n'importe quel compte à « superuser operator »
Le mécanisme est une injection SQL (CWE-89, et c'est aussi ainsi que la CISA nomme l'entrée). Son effet est une élévation de privilèges : n'importe quel utilisateur authentifié de l'orchestrateur — un compte client en lecture seule, un compte d'un partenaire, un compte de support — obtient les droits opérateur et peut se faire passer pour le « superuser operator » local.
Dans VCO, le niveau opérateur est celui qui administre l'orchestrateur lui-même, au-dessus des comptes entreprise. D'où le S:C (portée modifiée) du vecteur : l'impact sort du périmètre du compte attaquant et touche l'hôte VCO et les données qu'il gère, selon la description.
Le PR:L est ce qui empêche le 10.0. Mais sur un orchestrateur, les comptes à bas privilèges ne manquent pas : chaque client d'un fournisseur de services managés en a, et des identifiants volés suffisent.
Le même orchestrateur, les mêmes conséquences
Comme pour les deux CVE précédentes, le contrôle de l'orchestrateur donne la main sur chaque edge SD-WAN qu'il pilote : topologie de tous les sites, politiques de routage, configuration poussée en une opération à tout le réseau. Pour un fournisseur de services managés, c'est l'accès à tous ses clients.
Qui doit agir
Hosted, including Dedicated, versions of VCO were impacted and have already been patched.
Comme en septembre : les orchestrateurs hébergés par Arista (mutualisés ou dédiés) sont déjà corrigés. L'action concerne les instances on-prem.
Versions affectées
| Branche | Versions affectées (NVD) | Première version hors plage |
|---|---|---|
| 5.2 | 5.2.0 → avant 5.2.3.18 | 5.2.3.18 |
| 6.1 | 6.1.0 → avant 6.1.3.10 | 6.1.3.10 |
| 6.4 | 6.4.0 → avant 6.4.2.12 | 6.4.2.12 |
⚠️ Ce sont les bornes issues de NVD, pas forcément la version à installer : l'advisory Arista Security Advisory 0199 donne la version recommandée pour chaque branche.
Comparaison avec septembre : pour CVE-2026-93952, NVD fixait les bornes à 5.2.3.16, 6.1.3.7 et 6.4.2.8. Les bornes de CVE-2026-114625 sont plus hautes sur les trois branches. Une instance mise à jour exactement à la borne de septembre reste donc dans la plage vulnérable d'aujourd'hui.
Branche 7.0 : la faille de septembre la mentionnait, celle-ci non. NVD ne liste pas de configuration 7.0 pour CVE-2026-114625. Ne conclus pas pour autant qu'une 7.0 n'est pas concernée sans avoir lu l'advisory Arista.
Détection
- Comptes opérateurs : toute activité sous le compte « superuser operator » local, ou toute action de niveau opérateur depuis une session ouverte par un compte entreprise ou partenaire
- Comptes créés ou élevés récemment dans l'orchestrateur
- Configuration poussée vers les edges hors fenêtre de changement : le signal le plus important, comme pour les deux CVE précédentes
- Requêtes anormales vers l'interface et l'API de l'orchestrateur, en particulier des paramètres contenant de la syntaxe SQL, dans les journaux du proxy ou du WAF placé devant
- Activité sur l'hôte : processus, fichiers et connexions sortantes inhabituels
L'entrée KEV renvoie, comme les précédentes, aux exigences de triage forensique de la directive BOD 26-04 : la mise à jour ne suffit pas à elle seule.
Mitigation
- Instances hébergées : rien à faire côté CVE, déjà corrigé par Arista.
- Instances on-prem : passer à la version corrigée de ta branche selon l'advisory 0199 — l'échéance CISA tombe le 26 octobre. Si tu t'étais arrêté aux versions de septembre, tu n'es pas couvert.
- Inventorier les comptes de l'orchestrateur : chaque compte, même en lecture seule, est un point d'entrée pour cette faille. Supprimer les comptes inutiles, imposer le MFA.
- Restreindre l'accès à l'interface d'administration aux réseaux d'administration et aux edges.
- En cas de doute : auditer la configuration poussée à chaque edge, faire tourner les identifiants opérateurs, les clés d'activation et les certificats.
Pourquoi surveiller en continu votre orchestration réseau
Trois CVE critiques au KEV en trois mois sur le même produit, et des bornes qui montent à chaque fois. Savoir qu'on a « fait la mise à jour VeloCloud » ne suffit plus : il faut savoir quelle version tourne, et la comparer à chaque nouvelle entrée.
Avec cveo.tech, inventorie tes orchestrateurs et contrôleurs SD-WAN avec leur version exacte, et reçois une alerte dès qu'une CVE au CISA KEV les concerne.