Arista Peringatkan Celah Zero-Day pada VeloCloud

Arista memperingatkan adanya celah keamanan kritis pada VeloCloud Orchestrator (VCO) yang telah dieksploitasi dalam serangan siber. Kerentanan berupa SQL injection ini memungkinkan penyerang yang memiliki akun dengan hak akses terbatas meningkatkan kewenangannya hingga memperoleh kendali penuh atas sistem. Celah yang terdaftar sebagai CVE-2026-114625 tersebut mendapat skor 9,9 dari 10 pada skala CVSS, sehingga menjadi ancaman serius bagi organisasi yang menggunakan VeloCloud untuk mengelola jaringan mereka.

Dalam pemberitahuan keamanan pada 22 Oktober 2026, Arista mengungkapkan bahwa penyerang memanfaatkan celah zero-day pada VCO, sistem manajemen terpusat yang digunakan untuk mengelola jaringan VeloCloud Software-Defined Wide Area Network (SD-WAN).

Kerentanan ini menjadi perhatian karena VCO memiliki peran penting dalam pengelolaan infrastruktur jaringan. Melalui sistem tersebut, administrator dapat mengatur akun pelanggan dan mitra serta mengelola berbagai komponen jaringan dari satu tempat.

Jika berhasil dieksploitasi, celah tersebut dapat memungkinkan penyerang memperoleh hak akses operator, yakni tingkat kendali tertinggi dalam VCO. Bahkan, akun pelanggan yang hanya memiliki izin untuk read-only berpotensi menjadi pintu masuk untuk mengambil alih sistem.

Arista telah menyediakan pembaruan keamanan untuk sejumlah versi VCO yang dipasang di on-premises. Perbaikan tersedia pada versi 5.2.3.18, 6.1.3.10, dan 6.4.2.12. Sementara itu, sistem Orchestrator yang menggunakan layanan Hosted dan Dedicated dilaporkan telah mendapatkan pembaruan.

Meski demikian, organisasi yang sebelumnya telah memperbarui sistem untuk mengatasi kerentanan VCO pada Juli dan September tetap perlu memeriksa versinya. Pembaruan terdahulu belum mengatasi celah terbaru ini karena dirilis sebelum perbaikan khusus untuk CVE-2026-114625 tersedia.

Celah SQL Injection Memungkinkan Pengambilalihan Sistem

Kerentanan CVE-2026-114625 memiliki tingkat keparahan kritis dengan skor 9,9 dari 10 berdasarkan Common Vulnerability Scoring System (CVSS). Skor tersebut menunjukkan bahwa celah ini berpotensi menimbulkan dampak besar terhadap keamanan sistem.

Untuk mengeksploitasinya, penyerang harus memiliki akses jaringan ke antarmuka web VCO dan kredensial login yang valid. Hak akses minimum yang dibutuhkan adalah Enterprise Read Only, yaitu peran bawaan dengan kewenangan paling rendah bagi pengguna pelanggan.

Dengan kata lain, penyerang tidak harus terlebih dahulu menguasai akun administrator. Akun pelanggan yang semula hanya dapat melihat informasi sudah cukup untuk menjadi titik awal serangan apabila kredensialnya berada di tangan pihak yang tidak berwenang.

Secara bawaan, VCO dapat diakses melalui jaringan dan tidak memiliki pengaturan yang sepenuhnya mencegah paparan tersebut. Kondisi ini membuat pembatasan akses jaringan, pengawasan aktivitas pengguna, dan penerapan pembaruan keamanan menjadi bagian penting dari perlindungan sistem.

Dalam pengelolaan VCO, operator dapat membuat akun pelanggan dan mitra. Setiap mitra juga dapat mengelola kelompok pelanggan tertentu. Kerentanan ini memungkinkan penyerang bertindak sebagai local superuser, yaitu pengguna dengan hak akses penuh pada sistem.

Dampaknya berpotensi melampaui penyalahgunaan akun biasa. Penyerang dapat memengaruhi sistem host yang menjalankan VCO, membuka peluang akses tanpa izin, mengubah informasi, atau mengganggu operasional Orchestrator beserta data yang dikelolanya.

Bagi perusahaan yang mengandalkan SD-WAN untuk menghubungkan kantor pusat, kantor cabang, dan pusat data, gangguan pada sistem manajemen jaringan dapat mempersulit pemantauan serta pengendalian infrastruktur. Namun, dampak aktual pada setiap organisasi bergantung pada apakah sistemnya telah dieksploitasi dan sejauh mana akses yang berhasil diperoleh penyerang.

Arista belum mengungkapkan kapan serangan pertama kali dimulai, sistem Orchestrator mana saja yang telah menjadi korban, maupun tindakan yang dilakukan penyerang setelah mengeksploitasi kerentanan tersebut.

Menjadi Kerentanan Ketiga yang Dieksploitasi Sejak Juli

CVE-2026-114625 merupakan kerentanan ketiga pada VCO sejak akhir Juli yang dilaporkan Arista telah dieksploitasi dalam serangan.

Dua kerentanan sebelumnya adalah CVE-2026-16812 yang diungkap pada Juli dan CVE-2026-93952 yang dilaporkan pada September. Berbeda dari kedua celah tersebut, kerentanan terbaru mengharuskan penyerang memiliki kredensial untuk masuk ke sistem.

Celah pada Juli dan September tidak memerlukan autentikasi. Perbedaan ini penting karena menunjukkan bahwa kerentanan terbaru memiliki persyaratan eksploitasi yang berbeda, meskipun tetap berpotensi memberikan hak akses yang sangat tinggi setelah berhasil dimanfaatkan.

Arista mengakuisisi lini produk VeloCloud SD-WAN dari Broadcom melalui kesepakatan yang diumumkan pada Juli 2025. Sebelum akuisisi tersebut, produk ini dikenal dengan nama VMware SD-WAN by VeloCloud.

Rangkaian kerentanan yang dilaporkan dieksploitasi ini menjadi pengingat bahwa sistem manajemen terpusat perlu mendapatkan perhatian khusus dalam strategi keamanan siber. Ketika sistem tersebut memiliki kewenangan luas, pengambilalihan satu komponen dapat meningkatkan risiko terhadap infrastruktur yang dikelolanya.

Daftar Versi VeloCloud Orchestrator yang Terdampak

Arista menyediakan perbaikan berbeda untuk setiap jalur versi atau release train VCO. Administrator perlu memastikan versi yang digunakan dan memasang pembaruan yang sesuai.

Perangkat VeloCloud Gateway dan VeloCloud Edge dinyatakan tidak terdampak oleh kerentanan terbaru ini. Jalur versi 7.0 juga tidak tercantum dalam daftar versi terdampak. Menurut Arista, versi yang tidak masuk dalam daftar tersebut tidak rentan terhadap CVE-2026-114625.

Sementara itu, Arista belum memeriksa versi perangkat lunak yang telah mencapai akhir masa dukungan atau end of support. Pelanggan yang masih menggunakan versi tanpa dukungan disarankan menghubungi Technical Assistance Center (TAC) Arista untuk membahas pilihan peningkatan versi.

Ada pula hal yang perlu diperhatikan terkait kerentanan September. Hingga 22 Oktober, perbaikan CVE-2026-93952 tercatat tersedia pada jalur versi 5.2 dan 6.4. Pada jalur versi 6.1, kerentanan tersebut memengaruhi versi hingga 6.1.3.7, tetapi belum ada versi perbaikan yang dicantumkan dalam pemberitahuan tersebut.

Arista juga belum menjelaskan apakah VCO versi 6.1.3.10, yang memperbaiki kerentanan terbaru, sekaligus mengatasi celah September. Karena itu, administrator perlu memeriksa status setiap kerentanan berdasarkan informasi resmi perusahaan dan tidak berasumsi bahwa satu pembaruan otomatis menyelesaikan seluruh masalah keamanan.

Langkah Mitigasi Jika Pembaruan Belum Dapat Dipasang

Arista merekomendasikan sejumlah langkah sementara bagi organisasi yang belum dapat memasang versi VCO yang telah diperbaiki. Langkah ini bertujuan mengurangi peluang eksploitasi, tetapi tidak menggantikan kebutuhan untuk melakukan pembaruan.

• Administrator perlu membatasi akses ke antarmuka web VCO agar hanya dapat dijangkau melalui jaringan administrasi tepercaya. Pembatasan ini dapat mengurangi jumlah pihak yang memiliki kesempatan untuk mencoba mengeksploitasi sistem.
• Organisasi perlu memantau koneksi yang berasal dari alamat IP yang diketahui digunakan dalam serangan. Aktivitas jaringan keluar dari host VCO juga harus diawasi, terutama jika terdapat komunikasi yang tidak sesuai dengan kebutuhan operasional normal.
• Administrator dapat mempertimbangkan pemblokiran port jaringan keluar yang tidak diperlukan untuk menjalankan layanan. Pembatasan tersebut perlu dilakukan dengan hati-hati agar tidak mengganggu fungsi sistem yang sah.
• Tim keamanan perlu memeriksa kemungkinan keberadaan backdoor daemon dan webshell. Keduanya merupakan komponen yang dapat dimanfaatkan penyerang untuk mempertahankan akses ke sistem yang telah disusupi.
• Aktivitas administrator perlu ditinjau untuk menemukan perubahan konfigurasi atau tindakan yang tidak dikenal. Pemeriksaan ini membantu mengidentifikasi kemungkinan penyalahgunaan akun maupun perubahan yang dilakukan tanpa izin.

Langkah mitigasi tersebut sebaiknya disertai rencana peningkatan versi yang jelas. Selama sistem masih menjalankan versi rentan, risiko eksploitasi belum sepenuhnya terselesaikan.

Dua Alamat IP Terindikasi Digunakan dalam Serangan

Arista mengidentifikasi dua alamat IP yang terpantau digunakan untuk melancarkan serangan terkait kerentanan ini. Administrator disarankan memblokir alamat tersebut dan memeriksa log untuk mengetahui apakah sistem mereka pernah berkomunikasi dengan alamat yang sama.

Kedua alamat IP tersebut adalah:

• 74.82.197[.]86
• 38.54.50[.]151

Penulisan alamat menggunakan tanda kurung siku pada titik bertujuan mencegah akses yang tidak disengaja. Dalam konteks investigasi, alamat tersebut dapat digunakan sebagai indikator untuk membantu mendeteksi aktivitas yang berkaitan dengan serangan.

Selain memeriksa alamat IP, administrator perlu meninjau log akses web VCO untuk menemukan permintaan yang tidak biasa. Indikator yang patut diperhatikan antara lain jalur URL yang mencurigakan, karakter yang dikodekan, referensi ke layanan lokal atau internal, serta lonjakan permintaan dalam waktu singkat.

Indikator tersebut tidak selalu membuktikan bahwa eksploitasi telah berhasil. Namun, jika ditemukan bersama aktivitas akun yang tidak wajar, perubahan konfigurasi tanpa izin, atau koneksi jaringan mencurigakan, temuan itu dapat menjadi dasar untuk melakukan penyelidikan lebih mendalam.

Jika organisasi mencurigai adanya kompromi, Arista menyarankan agar bukti disimpan sebelum tindakan perbaikan dilakukan, apabila memungkinkan. Bukti tersebut meliputi log akses web VCO, log aplikasi backend, log sistem, log basis data, dan informasi waktu perubahan berkas yang relevan pada sistem file.

Dokumentasi tersebut dapat membantu tim keamanan menelusuri aktivitas penyerang, menentukan cakupan dampak, dan memahami bagaimana akses tidak sah mungkin diperoleh. Penyimpanan bukti juga mengurangi risiko hilangnya informasi penting selama proses pemulihan.

Risiko terhadap Perangkat VeloCloud Edge Masih Belum Jelas

Pada kerentanan yang dieksploitasi pada Juli dan September, Arista memperingatkan bahwa Orchestrator yang telah disusupi dapat memberikan jalan bagi penyerang untuk mengakses perangkat VeloCloud Edge.

Namun, pemberitahuan mengenai CVE-2026-114625 belum memastikan apakah risiko yang sama berlaku untuk celah terbaru ini. Arista juga belum menjelaskan apakah peningkatan versi VCO secara otomatis dapat mencabut akses yang mungkin sudah diperoleh penyerang sebelum pembaruan dipasang.

Ketidakjelasan tersebut membuat pemeriksaan setelah insiden atau post-incident investigation menjadi langkah penting, terutama jika terdapat indikasi bahwa sistem telah disusupi. Organisasi perlu mengevaluasi aktivitas akun, perubahan konfigurasi, log sistem, dan koneksi jaringan untuk mengetahui apakah penyerang masih memiliki akses atau telah memengaruhi komponen lain.

Dengan demikian, penanganan kerentanan ini tidak cukup hanya dengan memasang pembaruan ketika ditemukan tanda-tanda kompromi. Organisasi juga perlu memastikan tidak ada akses tidak sah yang tertinggal dan tidak ada komponen lain yang ikut terdampak.

Kasus ini menegaskan pentingnya pengelolaan kerentanan secara berkelanjutan, terutama pada sistem manajemen jaringan yang memiliki hak akses luas. Pembaruan keamanan, pembatasan akses, dan pemantauan aktivitas yang konsisten menjadi langkah penting untuk mengurangi risiko pengambilalihan sistem dan menjaga ketersediaan infrastruktur jaringan perusahaan.