CVE-2026-16812criticalsob ataqueCWE-78

CVE-2026-16812: falha crítica em Arista Networks VeloCloud Orchestrator On-Prem

VeloCloud Orchestrator OS Command Injection

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar VeloCloud Orchestrator On-Prem+ Monitorar VeloCloud Orchestrator

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

58Vexday Risk Score

Priorize a correção. Ela está sob exploração confirmada pelo CISA e tem alerta oficial do governo brasileiro.

ssvc Actcvss 10epss 1.8%
da publicação à arma
Publicada no NVD27 de jul.
CISA KEV27 de jul.
Alerta oficial no Brasil

O governo federal publicou alerta, recomendação ou boletim que cita esta vulnerabilidade.

Fonte: CTIR Gov (GSI) e CISC Gov.br, sob licença CC BY-ND 3.0.
Ação exigida pela CISAprazo federal: 2026-07-30

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

Em resumo

O VeloCloud Orchestrator on-premises possui uma falha de injeção de comandos que permite a atacantes remotos executar comandos arbitrários no sistema com altos privilégios. Isso pode comprometer completamente o orquestrador e todos os dados que ele gerencia.

Detalhe técnico

Vulnerabilidade de injeção de comando do SO (CWE-78) no VeloCloud Orchestrator on-premises permite que atacantes remotos não autenticados executem comandos arbitrários com privilégios elevados através de entrada não validada adequadamente em funcionalidade destinada apenas para uso interno. A exploração impacta diretamente a confidencialidade, integridade e disponibilidade do host orquestrador e de toda a infraestrutura gerenciada.

Resumo gerado e traduzido por IA a partir da descrição oficial.
VeloCloud Orchestrator (VCO) on-prem has a security issue where this issue may allow a remote attacker to access privileged internal functionality and impact the VCO host. Successful exploitation may compromise the confidentiality, integrity, and availability of the orchestrator and data managed by the orchestrator. This functionality was intended to be for internal use only and is not intended to be remotely accessible. Hosted and Dedicated versions of VCO have already been patched in advance of this notice going out. This issue was discovered externally and is known to be actively exploited.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/S:P
Produtos afetados
Arista Networks · VeloCloud Orchestrator On-Prem
CVEs relacionadas — Arista Networks VeloCloud Orchestrator On-Prem

No mesmo produto, das mais perigosas para as menos.

CVE-2026-17191HIGHVeloCloud Orchestrator Flow Metrics API SQL InjectionEPSS 0.4%CVE-2026-17192MEDIUMVeloCloud Orchestrator Missing Input Validation SSRFEPSS 0.3%