A Arista, empresa que comprou a linha de produtos VeloCloud SD-WAN da Broadcom em 2025, alertou em um comunicado de 22 de outubro que atacantes já exploram uma falha de dia zero no VeloCloud Orchestrator (VCO). Ele é o sistema central de gerenciamento de redes SD-WAN, usadas por empresas para conectar escritórios e filiais pela internet.

A falha é uma SQL injection, um tipo de erro em que o sistema aceita um texto malicioso no lugar de um dado comum e o executa como comando para o banco de dados. Ela recebeu o identificador CVE-2026-114625 e nota 9,9 na escala CVSS, que vai de 0 a 10. Para explorá-la, o invasor precisa de acesso à interface web do orquestrador e de um login válido, mesmo que seja o de um cliente com perfil somente de leitura. Com isso, ele pode virar um superusuário local, com acesso total ao sistema, e até afetar o próprio servidor do VCO e os dados que ele gerencia.

Quem usa instalações próprias (on-premises) deve atualizar para as versões 5.2.3.18, 6.1.3.10 ou 6.4.2.12, ou posteriores. As instâncias hospedadas pela própria Arista e as dedicadas já foram corrigidas. Atenção: versões que corrigiram as falhas de julho e setembro ainda podem estar vulneráveis, porque são anteriores às novas correções. A linha 7.0 não está na lista de afetadas, e a Arista não verificou versões que já saíram de suporte; nesses casos, quem usa versão sem suporte deve falar com o Centro de Assistência Técnica da empresa sobre opções de atualização.

Enquanto a atualização não for feita, a Arista recomenda limitar o acesso à interface web a redes administrativas confiáveis, monitorar conexões vindas de endereços IP maliciosos conhecidos, observar atividade de saída incomum no servidor, bloquear portas de saída que a operação normal não usa, procurar processos de backdoor e webshells e revisar alterações recentes feitas por administradores. A empresa também indicou dois endereços IP usados nos ataques, que devem ser bloqueados e checados nos registros. Se houver suspeita de invasão, preserve os registros antes de corrigir qualquer coisa.

Ainda não se sabe quando os ataques começaram, quais orquestradores foram atingidos nem o que os invasores fizeram depois. Como o VCO fica exposto por padrão, quem usa o produto deve tratar o caso como prioridade e seguir as instruções oficiais da Arista, mantendo os sistemas sempre atualizados.