Arista VeloCloud Orchestrator CVE-2026-114625: SQL Enjeksiyonu Saldırıda, Okuma Yetkili Hesaptan Süper Operatöre

Açık ne yapıyor? (What the vulnerability does)

VeloCloud Orchestrator (VCO), şirketlerin şube ve veri merkezlerindeki SD-WAN cihazlarını (VeloCloud Edge) tek yerden yönettiği web tabanlı paneldir. CVE-2026-114625, bu panelin kurum içinde barındırılan sürümünde bir SQL enjeksiyonu. Panele geçerli bir oturumla giren herhangi bir kullanıcı, açığı kullanarak kendini yerel "süper operatör" kullanıcısı gibi gösterebiliyor ve operatör yetkileri elde ediyor.

Açık için gereken asgari rol, yalnız okuma izni olan Enterprise Read Only. Kullanıcı etkileşimi gerekmiyor. Arista açığı kendisinin tespit ettiğini ve saldırılarda kullanıldığını doğruladığını açıkladı. Puanlar: CVSS 3.1'e göre 9.9, CVSS 4.0'a göre 9.4. Arista'nın iç takip numarası BUG2043622.

Neden önemli? (Why it matters)

Orchestrator'ı ele geçiren saldırgan, ona bağlı bütün şube cihazlarının yapılandırmasına ulaşabiliyor. Temmuz'daki CVE-2026-16812 açığında Arista, VCO'nun ele geçirilmesinin Edge cihazlarına erişim de sağlayabileceği uyarısını yapmıştı. Okuma yetkili hesapların çoğu zaman iş ortaklarına, dış destek firmalarına ve izleme araçlarına verildiği düşünülürse "kimlik doğrulama gerekiyor" şartı sanıldığı kadar koruyucu değil. Çalınmış ya da unutulmuş bir okuma hesabı, saldırgan için yeterli başlangıç noktası.

Aynı dönemde PAN-OS, Ivanti Connect Secure ve BeyondTrust Remote Support açıklarının da saldırıda kullanılması, ağın kenarındaki yönetim panellerinin bu ay öncelikli hedef olduğunu gösteriyor.

Etkilenen ve düzeltilmiş sürümler (Affected and fixed versions)

Sürüm dalı	Etkilenen	Düzeltilmiş (bu sürüm ve üstü)
5.2	5.2.0 – 5.2.3.17	5.2.3.18
6.1	6.1.0 – 6.1.3.9	6.1.3.10
6.4	6.4.0 – 6.4.2.11	6.4.2.12

• Arista'nın barındırdığı (Hosted) ve ayrılmış (Dedicated) VCO hizmetleri de etkilenmişti, ancak üretici bunların yamalandığını açıkladı. Yine de durumu kendi hizmet kanalınızdan teyit edin.
• VeloCloud Gateway ve VeloCloud Edge etkilenmiyor.
• Desteği bitmiş sürümler değerlendirilmedi; bu sürümleri kullananlar güvende olduklarını varsaymamalı, Arista destek merkezine başvurmalı.
• Önceki açıklar (CVE-2026-16812 ve CVE-2026-93952) için yüklenen yamalar yeni eşiğin altında kalıyor. "Temmuz'da yamaladık" demek yetmiyor; çalışan sürümü kontrol edin.

Yama sonrası ve yama gelene kadar (Mitigation)

Arista'nın açıklamasına göre açığı tamamen kapatan bir yapılandırma ayarı yok; kalıcı çözüm sürüm yükseltmesi. Yükseltme planlanırken riski azaltmak için:

1. Panel erişimini daraltın. VCO web arayüzüne yalnız tanımlı yönetim ağlarından erişilsin, internete açık bırakılmasın.
2. Hesapları gözden geçirin. Enterprise Read Only, iş ortağı, müşteri ve yönetici hesaplarını tek tek kontrol edin. Kullanılmayanları kapatın, ortak kullanılan hesapların parolalarını değiştirin.
3. Gözlenen adresleri engelleyin. Saldırılarda 74.82.197.86 ve 38.54.50.151 adresleri görüldü. Bu liste kesin değil; adresler değişebilir.
4. Gereksiz çıkış bağlantılarını kapatın. Orchestrator'ın dışarıya açabileceği portları sınırlayın.

Yamanın açığı kapattığını ama saldırganın daha önce içeri girip girmediğini göstermediğini unutmayın. Şüphe varsa yükseltmeden önce günlükleri ve dosya zaman damgalarını saklayın.

Günlüklerde ne aranmalı? (Indicators)

• Web erişim günlüklerinde alışılmadık, kodlanmış karakterler içeren ya da URL benzeri yol parçaları taşıyan istekler.
• İsteklerde yerel ya da iç servislere yapılan göndermeler.
• Yukarıdaki iki adresten gelen trafik ya da beklenmedik ölçüde yüksek istek sayıları.
• Açıklanamayan yönetici değişiklikleri, yeni hesaplar, beklenmedik çıkış bağlantıları, arka kapı süreçleri ya da web kabuğu dosyaları.

Alesta WEB olarak müşteri sunucularında uyguladığımız ilke burada da geçerli: yönetim paneli internete değil, yalnız bilinen adreslere açık olmalı ve her hesap gerçekten kullanan bir kişiye ait olmalı.

Sık sorulan sorular

Bulut (Hosted) VCO kullanıyorum, bir şey yapmam gerekiyor mu?

Arista hizmetin yamalandığını açıkladı. Yine de hizmet sağlayıcınızdan yazılı teyit alın ve hesap denetimini (kullanılmayan okuma hesapları) yapın.

Açık kimlik doğrulamasız kullanılabiliyor mu?

Hayır. Geçerli bir oturum gerekiyor; ama en düşük rol yeterli. Bu yüzden hesap temizliği bu açıkta önemli.

Edge cihazlarımı da güncellemem gerekiyor mu?

Bu açık için hayır, Edge ve Gateway etkilenmiyor. Ancak Orchestrator ele geçirildiyse bağlı cihazların yapılandırmasını da kontrol edin.

İlgili yazılar: PAN-OS CVE-2026-0322 · BeyondTrust Remote Support · VDS / VPS sunucu · İletişim

Kapak fotoğrafı: J.smith (English Wikipedia) / Wikimedia Commons (CC BY-SA 2.5)