Falha máxima em produto da Arista é explorada e entra em lista de emergência dos EUA
Vulnerabilidade CVE-2026-16812, com nota 10.0 de severidade, permite executar comandos sem senha no VeloCloud Orchestrator e já era usada em ataques antes do patch.
Por Redação tech & talk · Curadoria assistida por IA, revisão humana
A Arista Networks liberou correções de emergência para uma vulnerabilidade de gravidade máxima no VeloCloud Orchestrator (VCO), plataforma usada por empresas para gerenciar redes SD-WAN, depois de confirmar que a falha já vinha sendo explorada em ataques reais antes mesmo da correção — o chamado zero-day.
Identificada como CVE-2026-16812, a brecha recebeu nota 10.0 na escala CVSS, o teto da classificação de severidade. Trata-se de uma injeção de comandos de sistema operacional (CWE-78) que dispensa autenticação: segundo o site especializado The Hacker News, o invasor não precisa de usuário nem senha — basta alcançar a interface web do orquestrador pela rede para conseguir executar comandos arbitrários no servidor.
Alvo estratégico
Foto: reprodução/bleepingcomputer.com
O risco é amplificado pelo papel central do produto. O VCO concentra a administração de redes SD-WAN inteiras, de modo que o comprometimento do orquestrador pode expor os dados e a configuração de todas as redes gerenciadas por ele, apontam análises da SecurityWeek e do BleepingComputer.
São afetadas as versões on-premises das linhas 5.2.x (anteriores à 5.2.3.14), 6.1.x (anteriores à 6.1.3.4), 6.4.x (anteriores à 6.4.2.4) e 7.0.x (anteriores à 7.0.0.1). Já as edições hospedadas pela própria Arista (Hosted e Dedicated) foram corrigidas antes da divulgação pública e não estão vulneráveis, de acordo com a empresa.
CISA impõe prazo
A Arista publicou o aviso de segurança 0144 em 27 de julho. No mesmo dia, a CISA — agência de cibersegurança do governo americano — adicionou a CVE-2026-16812 ao seu catálogo de Vulnerabilidades Exploradas Conhecidas (KEV), mecanismo que obriga órgãos federais dos EUA a aplicar a correção dentro de um prazo determinado, conforme noticiou o The Register. A inclusão no catálogo funciona, na prática, como confirmação oficial de que a exploração ativa foi verificada.
O que os administradores devem fazer
A recomendação imediata é atualizar para as versões corrigidas de cada linha. Como os ataques começaram antes do patch, especialistas orientam tratar instâncias expostas como potencialmente comprometidas: revisar registros de acesso, restringir a interface de gerenciamento a redes confiáveis e investigar sinais de atividade anômala.
Falhas de injeção de comando sem autenticação em equipamentos de borda e plataformas de gerenciamento de rede estão entre as mais visadas por grupos de ransomware e espionagem digital, o que torna a janela entre a divulgação e a aplicação da correção especialmente perigosa para quem ainda não atualizou.