Arista VeloCloud Orchestrator on-prem SQL enjeksiyonu (CVE-2026-114625, CVSS 9.4). CISA KEV listesinde, aktif istismar ediliyor. Sürümler ve yapılacaklar.
Arista’nın VeloCloud Orchestrator (VCO) yönetim yazılımında, kimlik doğrulaması yapmış her kullanıcının operatör yetkisi kazanabildiği bir açık var. Açığı Arista kendi tespit etti ve üreticinin bültenine göre aktif olarak istismar ediliyor. Yani bu, ileride bakılacak bir konu değil. Bugün kontrol etmen gereken bir konu.
Kısa cevap: CVE-2026-114625, Arista VeloCloud Orchestrator on-prem (VCO) sürümlerini etkiliyor. Ağ üzerinden VCO arayüzüne erişebilen ve geçerli bir oturumu olan herhangi bir kullanıcı (en düşük rol: Enterprise Read Only) süper kullanıcı operatör gibi davranabiliyor. CVSS 4.0 puanı 9.4 (kritik) ve CISA bu açığı 23 Ekim 2026’da aktif istismar edilen açıklar listesine (KEV) ekledi. Çözüm, Arista’nın belirttiği düzeltilmiş sürümlere geçmek; geçemiyorsan VCO arayüzüne erişimi güvenilir yönetim ağlarıyla sınırla.
Ne oldu?
SQL enjeksiyonu (CWE-89), bir uygulamanın veritabanına gönderdiği sorguya saldırganın kendi ifadelerini karıştırmasıdır. Uygulama kullanıcıdan gelen girdiyi sorguya temizlemeden eklediğinde veritabanı bunu meşru bir komut gibi çalıştırır. Sonuç, veriyi okuma, değiştirme ya da silme imkânıdır. Uygulama katmanındaki genel önlemler için PHP güvenlik önlemleri yazısına bakabilirsin.
Arista’nın açıklamasına göre bu açık VCO on-prem sürümlerinde var. Hosted ve Dedicated VCO sürümleri de etkilenmişti, ama bunlar zaten yamalanmış. Arista ayrıca VCO’nun varsayılan olarak erişilebilir olduğunu ve bunu engelleyen bir yapılandırma bulunmadığını belirtiyor.
CISA, açığı 23 Ekim 2026’da KEV listesine ekledi ve son tarihi 26 Ekim 2026 olarak belirledi. Bu tarih bugün itibarıyla geçmiş. Fidye yazılımı kampanyalarında kullanılıp kullanılmadığı KEV kaydında “bilinmiyor” olarak geçiyor.
Kimler etkileniyor?
| Özellik | Bilgi |
|---|---|
| CVE kimliği | CVE-2026-114625 |
| CVSS puanı | 9.4 (CVSS 4.0, NVD); 9.9 (CVSS 3.1, Arista bülteni) |
| Önem derecesi | Kritik |
| Zayıflık türü (CWE) | CWE-89: SQL enjeksiyonu |
| Yayın tarihi | 22 Ekim 2026 |
| CISA KEV’e eklenme | 23 Ekim 2026 |
| CISA son tarihi | 26 Ekim 2026 (geçmiş) |
| Etkilenen ürün | VeloCloud Orchestrator On-Prem |
| Etkilenen sürümler | 5.2.x (5.2.3.18 öncesi), 6.1.x (6.1.3.10 öncesi), 6.4.x (6.4.2.12 öncesi) |
| Düzeltilen sürümler | 5.2.3.18, 6.1.3.10, 6.4.2.12 ve sonrası |
| Gereken erişim | VCO web arayüzüne ağ erişimi ve geçerli oturum (en düşük rol: Enterprise Read Only) |
| Fidye yazılımı kullanımı | Bilinmiyor |
Arista, destek süresi dolmuş sürümlerin değerlendirmesini yapmadığını yazıyor. Bu sürümlerde olan biri için TAC ile yükseltme seçeneklerini konuşmak gerekir. Bültende listelenmeyen Arista ürünleri, örneğin EOS tabanlı switch’ler ve CloudVision, bu açıktan etkilenmiyor.
Ne yapmalısın?
- Sürümünü kontrol et. VCO kurulumunun sürüm bilgisine bak. 5.2.x, 6.1.x ya da 6.4.x sürümündeysen ve yukarıdaki düzeltilmiş sürümden düşükse etkilenmişsin.
- Güncelle. Düzeltilmiş sürüme geç. Arista en kısa sürede güncellemeyi öneriyor. Güncelleme sonrası sürüm numarasını yazılı olarak kaydet, böylece hangi kurulumun yamalandığı sonradan karışmaz. Destek dışı bir sürümdeysen TAC’a yaz.
- Güncelleyemiyorsan erişimi kısıtla. VCO web arayüzüne yalnızca güvenilir yönetim ağlarından izin ver. Arayüz internete açık kalmamalı.
- Logları tara. VCO web erişim loglarında olağan dışı yol bileşenlerine, kodlanmış karakterlere, iç servislere yapılan referanslara ve yüksek istek sayısına bak. Arista’nın bildirdiği iki IP adresi için bir kayıt varsa engelle: 74.82.197.86 ve 38.54.50.151.
- Şüphede kanıtı koru. Olası bir ihlalde önce web erişim loglarını, uygulama ve sistem loglarını, veritabanı loglarını ve dosya zaman damgalarını sakla. Sonra temizlik yap. Giden trafiği, arka kapı servislerini ve webshell’leri kontrol et. Son yönetici işlemlerini gözden geçir.
Sık sorulan sorular
Beni etkiliyor mu?
VCO on-prem kullanıyorsan ve sürümün düzeltilmiş sürümden önceyse, evet. Hosted VCO kullanıyorsan bu sürümler zaten yamalanmış. Sadece Arista’nın bültende etkilenmeyen olarak listelediği ürünleri kullanıyorsan bu açık seni etkilemiyor.
CVSS puanı 9.4 ile 9.9 farklı, hangisi doğru?
İkisi de doğru, sadece farklı CVSS sürümleriyle hesaplanmış. NVD 4.0 puanı olan 9.4’ü, Arista ise 3.1 puanı olan 9.9’u veriyor. İki sürümde de önem derecesi kritik, bu yüzden değerlendirmen değişmiyor.
Hemen güncelleyemezsem ne yapmalıyım?
Erişimi güvenilir yönetim ağlarıyla sınırla, Arista’nın bildirdiği IP adreslerini engelle ve logları izle. Güncelleme için bir tarih koy ve bu süreçte TAC ile yükseltme seçeneklerini konuş. Ayrıca, güncellemeye kadar geçen sürede olağan dışı bir şey görürsen yukarıdaki kanıt koruma adımlarını uygula.
Kaynaklar
- NVD kaydı: CVE-2026-114625
- CISA Known Exploited Vulnerabilities Catalog
- Arista Security Advisory 0199
Bu yazı 6 Kasım 2026’da CISA ve NVD kayıtlarına göre hazırlandı; yeni bilgi çıkarsa güncellenecek. Sunucu ve uygulama güncellemesi ile güvenlik bakımı için teklif formu üzerinden bana ulaşabilirsin.