CISA הוסיפה ב־23 באוקטובר 2026 את CVE-2026-114625 לקטלוג החולשות המנוצלות שלה, לאחר ש־Arista דיווחה על ניצול פעיל של החולשה במערכות VeloCloud Orchestrator מקומיות. מדובר בחולשת SQL Injection קריטית שמאפשרת למשתמש שכבר מחובר למערכת להסלים הרשאות ולהתחזות למפעיל־על מקומי.
החולשה אינה תרחיש תיאורטי בלבד. בהודעת האבטחה שפרסמה Arista ב־22 באוקטובר נכתב כי החברה זיהתה את הבעיה וכי ידוע לה על ניצול פעיל. Arista העניקה לחולשה ציון CVSS 3.1 של 9.9 וציון CVSS 4.0 של 9.4.
מה בדיוק מאפשרת החולשה?
VeloCloud Orchestrator הוא רכיב הניהול המרכזי של סביבת SD-WAN. לפי Arista, במערכת פגיעה כל משתמש מאומת עשוי להשיג הרשאות operator ולהתחזות למשתמש המקומי “superuser operator”. בכך הוא מקבל גישה לפונקציות פנימיות שלא אמורות להיות חשופות מרחוק.
המשמעות הארגונית רחבה יותר מחשיפה של חשבון יחיד: Orchestrator מנהל תצורה ונתונים של סביבת התקשורת. ניצול מוצלח עלול לפגוע בסודיות, בשלמות ובזמינות של המערכת ושל המידע שהיא מנהלת. מאחר שנדרש חשבון תקף, יש להתייחס גם לחשבונות ישנים, חשבונות שותפים והרשאות קריאה כאמצעי כניסה אפשרי — ולא רק לחשבונות מנהל.
אילו גרסאות פגיעות?
| ענף גרסה | גרסאות פגיעות | גרסה מתוקנת |
|---|---|---|
| 5.2.x | לפני 5.2.3.18 | 5.2.3.18 ומעלה |
| 6.1.x | לפני 6.1.3.10 | 6.1.3.10 ומעלה |
| 6.4.x | לפני 6.4.2.12 | 6.4.2.12 ומעלה |
הרשימה מתייחסת ל־VeloCloud Orchestrator On-Prem. גרסאות שאינן נתמכות לא נבדקו, ולכן אין להסיק שהן בטוחות. Arista מציינת כי השירותים המתארחים, לרבות Dedicated VCO, הושפעו אך כבר תוקנו בצד הספק.
מה צוותי IT ואבטחה צריכים לעשות עכשיו?
- לאתר את כל מופעי VCO המקומיים: כולל מערכות בדיקה, DR ומופעים שהועברו לניהול של ספק חיצוני.
- לבדוק את מספר הבנייה המדויק: לא להסתפק בכך שבוצע עדכון לאחרונה. יש להשוות את הגרסה בפועל לספי התיקון של Arista.
- להתקין את הגרסה המתוקנת: בהתאם לענף הגרסה, לאחר גיבוי תצורה ובדיקת חלון תחזוקה.
- להגביל גישה לממשק הניהול: לאפשר גישה רק מרשתות ניהול, VPN או כתובות מהימנות, ולצמצם חשבונות שאינם נדרשים.
- לבחון סימני חדירה: לעבור על התחברויות, שינויי הרשאות ופעילות חריגה, ולפעול לפי הנחיות הבדיקה והאינדיקטורים שבהודעת Arista.
- להחליף סודות במקרה של חשד: אם נמצאה פעילות חריגה, יש להתייחס לאישורי גישה ולמידע שמנוהל ב־Orchestrator כאל מידע שעלול להיחשף.
למה הכניסה לקטלוג KEV חשובה?
קטלוג Known Exploited Vulnerabilities של CISA כולל חולשות שלגביהן קיימת עדות לניצול בעולם האמיתי. עבור גופים פדרליים אמריקאיים נקבע מועד טיפול ל־26 באוקטובר 2026. המועד הזה אינו מחייב כל ארגון, אך הוא מאותת שמדובר בעדיפות תיקון גבוהה ולא בפריט שאפשר לדחות למחזור העדכונים הרגיל.
לארגונים שמפעילים VCO מקומי מומלץ לסיים תחילה את המיפוי והצמצום המיידי של החשיפה, ואז לעבור לעדכון ולבדיקת סימני חדירה. תיקון הגרסה עוצר ניצול עתידי של החולשה, אך אינו מוכיח שהמערכת לא נוצלה לפני העדכון.
מקורות
- Arista Security Advisory 0199 — CVE-2026-114625, 22.10.2026.
- CISA Adds One Known Exploited Vulnerability to Catalog, 23.10.2026.
- CVE.org — CVE-2026-114625.
צילום: Markus Spiske / Pexels. דף המקור; שימוש לפי רישיון Pexels.
