Arista opravuje aktivně zneužívanou zero-day chybu ve VeloCloud Orchestrator

CVE v události 1

Hodnocení z katalogů, všechna, se stupnicí CVSS a vydavatelem. Rozpad vektoru je na stránce CVE. Advisory v textu uvádí CVSS 10.0.

Tahle CVE jsem vytáhl z širšího textu článku: CVE-2026-16812, CVE-2026-7473. Neukazuju u nich proto fakta z katalogů výše, a to preventivně, protože článek se na ně mohl jen odkazovat, třeba jako na starší kauzu.

Jak se o tom psalo 5

1. 23. 9. 2026 14:29 · BleepingComputer US nadpis události

   Arista opravuje aktivně zneužívanou zero-day chybu ve VeloCloud Orchestrator

   Společnost Arista Networks vydala bezpečnostní záplaty pro zero-day zranitelnost, která je podle zdroje aktivně zneužívána v praxi. Chyba postihuje on-premise nasazení nástroje VeloCloud Orchestrator (VCO).

   originál: Arista patches actively exploited VeloCloud Orchestrator zero-day

2. 23. 9. 2026 04:00 · NCSC-FI FI

   Aktivně zneužívaná kritická zranitelnost v Arista VeloCloud Orchestrator

   Společnost Arista oznámila kritickou zranitelnost CVE-2026-93952 v on-premise instalacích VeloCloud Orchestrator se skóre CVSS 10.0, která je aktivně zneužívána. Vzdálený útočník může bez přihlašovacích údajů získat přístup k privilegovaným interním funkcím a kompromitovat hostitelský systém i spravovaná data.

   originál: Arista VeloCloud Orchestrator - Actively Exploited Critical Vulnerability

3. 22. 9. 2026 16:34 · NCSC-NL NL

   Oprava aktivně zneužívané zranitelnosti ve VeloCloud Orchestratoru

   VeloCloud opravil zranitelnost v lokální verzi nástroje VeloCloud Orchestrator, která externím útočníkům umožňuje přístup k interním funkcím s vyššími oprávněními. Podle NCSC-NL je tato chyba aktivně zneužívána v praxi, zatímco v hostovaných prostředích již byla opravena.

   originál: NCSC-2026-0385 [1.00] [M/H] Kwetsbaarheid verholpen in VeloCloud Orchestrator (VCO) on-premises

4. 22. 9. 2026 15:14 · Cyber Centre Kanada CA

   Bezpečnostní varování pro produkty Arista Networks

   Kanadské středisko pro kybernetickou bezpečnost upozorňuje na zranitelnost v produktu Arista Networks VeloCloud Orchestrator On-Prem. Podle veřejně dostupných zpráv je chyba CVE-2026-93952 aktivně zneužívána v praxi.

   originál: Arista Networks security advisory (AV26-947)

5. 22. 9. 2026 02:00 · CISA KEV US

   Zranitelnost nesprávného ověření vstupu v Arista VeloCloud Orchestrator

   Agentura CISA zařadila zranitelnost CVE-2026-93952 v produktu Arista VeloCloud Orchestrator do katalogu aktivně zneužívaných zranitelností. Termín pro nápravu byl stanoven na 25. září 2026.

   originál: Arista VeloCloud Orchestrator Improper Input Validation Vulnerability (CVE-2026-93952)