Kritická zranitelnost typu SQL injection CVE-2026-114625 s CVSS 9.9 v Arista VeloCloud Orchestrator On-Premises umožňuje přihlášenému útočníkovi s oprávněním 'Enterprise Read Only' eskalovat práva na úroveň operátora a spustit vzdálený kód. Chyba je podle zdrojů aktivně zneužívána v síti a Arista vydala opravy pro dotčené verze před 5.2.3.18, 6.1.3.10 a 6.4.2.12.
Check Point Research shrnuje bezpečnostní události za uplynulý týden. Text zmiňuje útoky na poskytovatele Onamae a TeamUpdraft, kompromitaci balíčků LiteLLM, zneužívání AI kyberzločinci a vydání záplat pro PHP, Oracle či GitLab.
Kritická zranitelnost CVE-2026-93952 s CVSS 10.0 v on-premise verzích Arista VeloCloud Orchestrator umožňuje vzdálenému útočníkovi získat přístup k privilegovaným interním funkcím a kompromitovat hostitele i spravovaná data. Chyba je aktivně zneužívána v praxi, nevyžaduje přihlašovací údaje k VCO, ale předpokládá certifikátovou autentizaci mezi Edge a VCO, přístup k veřejné části certifikátu a síťový přístup k webovému rozhraní.
Společnost Arista opravila zranitelnosti v platformě EOS. Chyba CVE-2026-73456 v obsluze požadavků gNPSI umožňuje neautentizovanému útočníkovi vzdáleně spustit libovolný kód a převzít kontrolu nad přepínačem, zatímco CVE-2026-73457 způsobuje ukládání přihlašovacích údajů v otevřené formě do logů. Podle výrobce jsou zranitelné pouze systémy se zapnutou službou gNPSI a specifickou konfigurací, ve výchozím továrním nastavení je služba vypnutá.
Zdroj uvádí, že CISA zařadila zranitelnost CVE-2026-16812 v produktu Arista VeloCloud Orchestrator do katalogu známě zneužívaných zranitelností. Lhůta pro nápravu je stanovena na 30. července 2026.