O CVE-2026-16812 é uma falha de injeção de comando de sistema operacional sem autenticação, com pontuação CVSS 10,0, no VeloCloud Orchestrator (VCO) on-prem da Arista. A vulnerabilidade está sob exploração ativa na natureza e foi adicionada ao catálogo Known Exploited Vulnerabilities (KEV) da CISA em 27 de julho de 2026, com prazo de correção para 30 de julho. Um invasor remoto sem credenciais pode executar comandos no host do orquestrador e, a partir dali, comprometer os dispositivos VeloCloud Edge administrados pela plataforma. Não existe configuração que impeça a exposição por padrão.
O caso guarda semelhança com o CVE-2026-16232 no Check Point SmartConsole e o CVE-2026-58644 no SharePoint Server, ambas críticas e no KEV, mas no VCO a exposição ocorre por padrão em toda instalação on-prem, sem depender de erro do operador.
Como o ataque funciona
A vulnerabilidade está em uma funcionalidade do VCO que, segundo o fabricante, deveria ser de uso interno e não acessível remotamente. O endpoint, porém, permaneceu alcançável pela rede: um invasor envia entrada especialmente criada que chega a um comando do sistema operacional e é executada no contexto do orquestrador, sem exigir credenciais de operador ou de locatário.
A pontuação máxima reflete o vetor CVSS 3.1 AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H: explorável pela rede, sem privilégios prévios, sem interação do usuário e com impacto total sobre confidencialidade, integridade e disponibilidade. A categoria de fraqueza é CWE-78, injeção de comando de sistema operacional, e o problema é rastreado internamente como BUG 1901675.
A exploração bem-sucedida pode comprometer não apenas o host do VCO, mas também os dispositivos VeloCloud Edge que ele administra. A Arista alerta que o comprometimento da plataforma pode dar aos atacantes acesso aos equipamentos de borda, o que amplia o raio de impacto para toda a malha SD-WAN gerenciada por aquela instância do orquestrador.
Versões afetadas e correção
As instalações on-prem do VeloCloud Orchestrator nas seguintes linhas de versão estão vulneráveis e exigem atualização imediata:
| Versão afetada | Correção disponível |
|---|---|
| VCO 5.2.x (antes de 5.2.3.14) | 5.2.3.14 |
| VCO 6.1.x (antes de 6.1.3.4) | 6.1.3.4 |
| VCO 6.4.x (antes de 6.4.2.4) | 6.4.2.4 |
| VCO 7.0.x (antes de 7.0.0.1) | 7.0.0.1 |
As instâncias Hosted e Dedicated do VCO já foram corrigidas pela Arista antes da divulgação pública do aviso. Para quem opera a versão on-prem, a recomendação é atualizar imediatamente para uma das releases com correção. Como o ataque não exige autenticação e não há configuração que elimine a exposição, o patch é a única mitigação eficaz; restringir o acesso à interface web do VCO a redes administrativas confiáveis apenas reduz o risco até que a atualização seja aplicada.
A Arista divulgou ainda dois bugs relacionados no Security Advisory 0145: o CVE-2026-17191, uma injeção SQL na Flow Metrics API com CVSS 9,1, e o CVE-2026-17192, uma falha de SSRF com CVSS 8,5. Ambos exigem sessão autenticada e não foram observados em uso malicioso, mas estão incluídos nas mesmas releases de correção.
Detecção e resposta ao incidente
A Arista afirma que não existe um único indicador definitivo de comprometimento para o CVE-2026-16812. Os operadores devem revisar os logs de acesso web do VCO em busca de atividade incomum, como requisições com componentes de caminho semelhantes a URLs, caracteres codificados, referências a serviços locais ou internos, ou taxas de pedido anormalmente elevadas.
A fabricante listou três endereços IP observados conduzindo os ataques — 8.19.75.217, 206.72.242.124 e 206.72.242.162 — e recomenda bloqueá-los e procurar sua presença nos logs. Logs de backend da aplicação, logs de sistema e logs de banco de dados devem ser examinados próximos aos mesmos carimbos de tempo das anomalias detectadas nos acessos web.
Após aplicar a correção, caso haja suspeita de comprometimento, a Arista recomenda um checklist de resposta: preservar logs de acesso web, backend, sistema e banco de dados antes de qualquer remediação; rotacionar credenciais de operadores e de integrações; revisar toda atividade de administradores no período suspeito; validar o estado dos dispositivos VeloCloud Edge gerenciados; e restaurar ou substituir a instância do orquestrador a partir de uma fonte confiável. Ignorar a fase de investigação pode deixar backdoors instalados no host comprometido.