Arista, aktif olarak istismar edilen kritik bir güvenlik açığını gidermek için VeloCloud Orchestrator platformuna acil güvenlik güncellemesi yayınladı. Arista VeloCloud açığı olarak takip edilen CVE-2026-16812, kimlik doğrulaması gerektirmeyen bir komut enjeksiyonu zafiyeti olarak 10.0 CVSS puanı aldı. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) da açığı doğrulanmış istismar edilen güvenlik açıkları listesine ekleyerek kurumları hızlı şekilde önlem almaya çağırdı.

Kritik Açık VeloCloud Orchestrator Sunucularını Hedef Alıyor

VeloCloud Orchestrator (VCO), SD-WAN altyapılarının merkezi olarak yapılandırılması, yönetilmesi ve izlenmesi için kullanılan yönetim platformu olarak görev yapıyor. Arista’nın yayınladığı güvenlik bültenine göre CVE-2026-16812, saldırganların yalnızca VCO web arayüzüne ağ erişimi sağlayarak dahili kullanıma ayrılmış ayrıcalıklı işlevlere ulaşmasına izin veriyor. Açığın istismar edilmesi için yönetici hesabı, kiracı bilgisi veya herhangi bir kimlik doğrulaması gerekmiyor.

Şirket, başarılı bir saldırının VeloCloud Orchestrator sunucusunun gizliliğini, bütünlüğünü ve kullanılabilirliğini tehlikeye atabileceğini belirtiyor. Güvenliği ihlal edilen bir VCO örneği üzerinden yapılandırma verileri, cihaz envanteri, sertifikalar, kimlik bilgileri ve yönetilen ağ bileşenleri de risk altına girebiliyor. Arista ayrıca saldırganların ele geçirilen yönetim sunucusu üzerinden VeloCloud Edge cihazlarına erişim sağlayabileceği konusunda uyarıda bulunuyor.

Güvenlik açığından VCO 5.2.x, 6.1.x, 6.4.x ve 7.0.x sürümlerinin belirli eski versiyonları etkileniyor. Arista, sorunu 5.2.3.14, 6.1.3.4, 6.4.2.4 ve 7.0.0.1 sürümleriyle giderdiğini açıkladı. Bulut tabanlı Hosted ve Dedicated VeloCloud Orchestrator hizmetlerinin ise güvenlik duyurusu yayınlanmadan önce yamalandığı ve bu zafiyetten etkilenmediği bildirildi.

CISA, açığın aktif saldırılarda kullanıldığını doğrulayarak CVE-2026-16812 kaydını Known Exploited Vulnerabilities (KEV) kataloğuna ekledi. Kurum, ABD federal kurumlarına 30 Temmuz 2026 tarihine kadar gerekli güvenlik önlemlerini uygulama talimatı verdi. Bu adım, güvenlik açığının teorik olmaktan çıkıp gerçek saldırı kampanyalarında kullanıldığını gösteren en önemli göstergelerden biri olarak değerlendiriliyor.

Arista, güncelleme uygulanıncaya kadar VCO web arayüzünün yalnızca yönetim ağlarından erişilebilir hâle getirilmesini öneriyor. Kuruluşların ayrıca olağan dışı yönetici işlemlerini incelemesi, beklenmeyen HTTP ve HTTPS bağlantılarını takip etmesi, şüpheli komut çalıştırma faaliyetlerini araştırması ve sistem günlüklerini ayrıntılı biçimde analiz etmesi tavsiye ediliyor.

Şirket, saldırılar sırasında kullanıldığı belirlenen üç IP adresini de paylaştı. Ancak bu adreslerin tüm saldırıları temsil etmediği, farklı IP’lerden gerçekleştirilen ihlallerin de bulunabileceği özellikle vurgulanıyor. Bu nedenle yalnızca IP engelleme işlemi yeterli görülmüyor.

Arista, güvenlik açığının başarıyla istismar edildiği sistemlerde yalnızca yamayı yüklemenin yeterli olmayabileceğini belirtiyor. Kuruluşların yönetici hesaplarını yeniden oluşturması, kimlik bilgilerini değiştirmesi, yapılandırmaları doğrulaması ve gerekirse güvenliği ihlal edilen VCO sunucularını yedekten geri yüklemesi veya tamamen yeniden kurması öneriliyor.

Uzmanlar, merkezi SD-WAN yönetim platformlarının çok sayıda şube, veri merkezi ve uç cihazı aynı noktadan yönettiğini hatırlatıyor. Bu nedenle tek bir Arista VeloCloud açığı bile tüm ağ altyapısını etkileyebilecek geniş kapsamlı güvenlik ihlallerine zemin hazırlayabiliyor. Özellikle internete açık yönetim arayüzlerinin düzenli olarak güncellenmesi ve erişimlerinin sınırlandırılması, benzer saldırılara karşı en kritik savunma adımları arasında gösteriliyor.