Faille VeloCloud : l’orchestrateur SD-WAN d’Arista attaqué, correctif urgent

Arista a publié le 22 octobre un correctif pour une faille VeloCloud déjà exploitée par des attaquants. Notée 9,9 sur 10, elle touche la console qui pilote les réseaux SD-WAN de nombreuses entreprises multisites. Les installations hébergées en interne doivent être mises à jour sans attendre.

Le constructeur américain a diffusé son bulletin de sécurité le 22 octobre 2026. Il concerne VeloCloud Orchestrator (VCO), le portail web qui centralise la configuration des boîtiers SD-WAN – le SD-WAN étant cette technologie qui relie les sites d’une entreprise en combinant plusieurs liens (fibre, 4G/5G, satellite) sous une même politique réseau. Selon Arista, la vulnérabilité a été détectée en interne et elle est activement exploitée. La presse spécialisée, de BleepingComputer à ChannelNews, a relayé l’alerte entre le 22 et le 26 octobre.

Une injection SQL qui donne les clés du réseau

La faille porte l’identifiant CVE-2026-114625. Il s’agit d’une injection SQL, c’est-à-dire l’envoi de requêtes piégées à la base de données de l’application. D’après l’avis d’Arista, elle obtient 9,9 en CVSS 3.1 et 9,4 en CVSS 4.0, les deux barèmes standard de gravité.

Un simple compte en lecture suffit

L’attaquant doit disposer d’une session authentifiée, mais le rôle le plus faible, « Enterprise Read Only », suffit. Aucune action d’un utilisateur n’est nécessaire. Le pirate peut alors s’octroyer des privilèges d’opérateur, le plus haut niveau de contrôle de la plateforme.

Les conséquences possibles

• lecture, modification ou destruction des données gérées par l’orchestrateur ;
• accès à des fonctions normalement réservées à l’usage interne ;
• atteinte possible au serveur qui héberge la console, selon The Hacker News.

Qui est concerné par la faille VeloCloud ?

Seules les installations VCO On-Prem, déployées sur les serveurs du client ou de son prestataire, sont vulnérables. Les versions hébergées et dédiées gérées par Arista ont déjà été corrigées. Les boîtiers Edge et les passerelles ne sont pas touchés.

• branche 5.2 : corrigée à partir de la version 5.2.3.18 ;
• branche 6.1 : corrigée à partir de la version 6.1.3.10 ;
• branche 6.4 : corrigée à partir de la version 6.4.2.12.

Les versions en fin de support n’ont pas été évaluées par le constructeur, qui renvoie ces clients vers son support technique. Point aggravant : selon l’avis, l’interface est exposée par défaut et aucune option de configuration ne permet d’échapper au risque.

Un produit déjà ciblé à plusieurs reprises

Arista a repris VeloCloud à Broadcom-VMware en juillet 2025. Depuis, la plateforme est sous surveillance. D’après BleepingComputer, il s’agit de la quatrième faille zero-day exploitée corrigée par Arista en 2026, après des alertes en mai, juillet et septembre. Une précédente vulnérabilité de l’orchestrateur, publiée en septembre, fait l’objet de correctifs distincts.

Pour les entreprises, le signal est clair. Les consoles d’administration réseau sont devenues des cibles prioritaires, au même titre que les pare-feu, comme l’ont montré les récentes failles Fortinet sur les équipements de sécurité. Qui contrôle la console contrôle le trafic de tous les sites.

Les réflexes à adopter dès maintenant

Si votre réseau multisite repose sur VeloCloud, ou si vous ignorez quelle solution SD-WAN votre opérateur a déployée, voici les priorités.

Corriger et cloisonner

• Installez sans délai la version corrigée de votre branche.
• Limitez l’accès à l’interface web de l’orchestrateur aux seuls réseaux d’administration.
• Bloquez les deux adresses IP signalées par Arista : 74.82.197.86 et 38.54.50.151.

Chercher des traces d’intrusion

• Passez en revue les changements récents effectués par des administrateurs.
• Surveillez le trafic sortant inhabituel et recherchez d’éventuels webshells.
• En cas de doute, conservez les journaux avant toute remédiation : ils serviront à l’enquête.

Ces réflexes valent pour toute console exposée. Un audit de sécurité informatique des équipements critiques permet de savoir lesquelles sont joignables depuis internet. Le sujet concerne aussi les communes et intercommunalités qui interconnectent mairies, écoles et services techniques : la cybersécurité des collectivités passe par l’inventaire de ces interfaces. Enfin, l’architecture compte autant que le correctif : un réseau d’entreprise multisite bien segmenté et des accès distants sécurisés pour les équipes nomades réduisent la surface d’attaque.

Conclusion

La faille VeloCloud rappelle que le cœur d’un réseau SD-WAN est sa console de pilotage. Une injection SQL accessible avec un simple compte en lecture suffit à en prendre le contrôle. Vérifiez dès aujourd’hui la version de votre orchestrateur, ou interrogez votre prestataire, et fermez son accès depuis internet. Corriger vite reste la meilleure défense.

Source : ChannelNews – Arista corrige une vulnérabilité critique dans VeloCloud (26 octobre 2026)
Voir aussi : BleepingComputer – Arista patches new VeloCloud Orchestrator zero-day exploited in attacks (22 octobre 2026)
The Hacker News – Arista Warns of Critical VeloCloud SQL Injection Zero-Day Exploited in Attacks (22 octobre 2026)
Arista – Security Advisory 0199 (22 octobre 2026)