CVE-2026-16812: Lỗ hổng command injection trong Arista VeloCloud Orchestrator bị khai thác chủ động
"Attackers are actively exploiting a maximum-severity operating system command injection vulnerability in on-premises Arista VeloCloud Orchestrator, tracked as CVE-2026-16812 with a CVSS score of 10.0. The flaw can enable arbitrary code execution and compromise orchestrator confidentiality, integrity, and availability; Arista has released fixed versions and CISA has added the issue to its KEV catalog with a patch deadline of July 30, 2026."
Nguy cơ cao do command injection có thể dẫn tới thực thi mã tuỳ ý và làm tổn hại CIA (confidentiality, integrity, availability) của VCO.
Có thể gây gián đoạn vận hành và ảnh hưởng dịch vụ mạng do VCO bị chiếm quyền; đồng thời phát sinh chi phí điều tra, vá lỗi và khôi phục cấu hình/thiết bị liên quan.
Các tác nhân đe doạ đang khai thác chủ động một lỗ hổng command injection mức độ nghiêm trọng cao trong phiên bản on-premises của Arista VeloCloud Orchestrator (VCO). Lỗi được theo dõi là CVE-2026-16812 với CVSS 10.0, có thể dẫn tới thực thi mã tuỳ ý và làm ảnh hưởng đến tính bảo mật, toàn vẹn và sẵn sàng của hệ thống điều phối cũng như dữ liệu do VCO quản lý.
Theo thông báo từ nhà cung cấp, các phiên bản bị ảnh hưởng gồm: VCO 5.2.x trước 5.2.3.14, VCO 6.1.x trước 6.1.3.4, VCO 6.4.x trước 6.4.2.4 và VCO 7.0.x trước 7.0.0.1. Các bản hosted/dedicated đã được khắc phục trước đó.
Cơ quan CISA đã đưa CVE-2026-16812 vào danh mục Known Exploited Vulnerabilities (KEV), yêu cầu các đơn vị thuộc nhánh FCEB hoàn tất vá trước 30/07/2026. Nhà cung cấp cũng cung cấp 3 địa chỉ IP được cho là tham gia tấn công và khuyến nghị chặn, đồng thời rà soát log.
Nếu chưa thể cập nhật ngay, cần giới hạn truy cập vào giao diện web VCO chỉ từ mạng quản trị tin cậy, giám sát truy cập từ các IP nguồn đáng ngờ, kiểm tra lưu lượng outbound bất thường và xem xét hoạt động quản trị gần đây. Trường hợp nghi ngờ bị xâm nhập, nên bảo toàn log web, log ứng dụng, log hệ thống và log cơ sở dữ liệu trước khi khắc phục; đồng thời cân nhắc xoay/kiểm tra thông tin xác thực và khôi phục instance từ nguồn tin cậy.