VeloCloud Orchestrator : une faille critique activement exploitée, des correctifs disponibles

Bulletin du 24 octobre 2026. Le Centre canadien pour la cybersécurité signale le 23 octobre l’ajout de CVE-2026-114625 au catalogue KEV de la CISA. L’avis d’Arista Networks, publié le 22 octobre, confirme une exploitation active de cette faille de VeloCloud Orchestrator installé sur site : il ne s’agit donc pas seulement d’une démonstration de laboratoire.

Cette injection SQL permet à un utilisateur déjà authentifié d’obtenir des privilèges d’opérateur et d’usurper un superutilisateur local. Un accès réseau à l’interface web et une session valide sont nécessaires ; le rôle minimal « Enterprise Read Only » suffit. Arista attribue 9,4/10 en CVSS 4.0 et 9,9/10 en CVSS 3.1. La confidentialité, l’intégrité et la disponibilité de l’orchestrateur et de ses données sont menacées.

Les branches concernées sont 5.2.x avant 5.2.3.18, 6.1.x avant 6.1.3.10 et 6.4.x avant 6.4.2.12. Les versions hébergées ont déjà été corrigées ; les versions hors support n’ont pas été évaluées.

Appliquer la version corrigée de sa branche. En attendant, restreindre l’interface aux réseaux d’administration et surveiller les accès et connexions sortantes. En cas de soupçon, préserver les journaux avant remédiation : installer un correctif ne démontre pas l’absence de compromission antérieure.

Mots-clés suggérés : cybersécurité, Arista, VeloCloud, exploitation active, correctifs.

Sources :

Arista Networks, Security Advisory 0199, avis éditeur du 22 octobre 2026

Centre canadien pour la cybersécurité, AV26-1080, bulletin et mise à jour du 23 octobre 2026