Kerentanan yang dilacak dengan kode CVE-2026-16812 ini memungkinkan penyerang dari jarak jauh mengeksekusi perintah sistem operasi tanpa memerlukan kredensial apa pun. Arista menyebut dalam advisory resminya bahwa celah ini membuka akses ke fungsi internal istimewa yang seharusnya tidak terekspos ke publik. Lebih mengkhawatirkan lagi, VeloCloud Orchestrator on-premises terekspos secara default dan tidak ada konfigurasi yang bisa menghilangkan risiko itu sepenuhnya.
"Eksploitasi yang berhasil dapat membahayakan kerahasiaan, integritas, dan ketersediaan data yang dikelola oleh orchestrator," tulis Arista. Perusahaan tersebut memperingatkan bahwa kompromi pada platform VCO juga bisa memberi peretas akses ke perangkat VeloCloud Edge yang terhubung.
Arista mempublikasikan tiga alamat IP yang terpantau melakukan serangan, namun enggan mengungkapkan siapa pelaku di balik eksploitasi ini. Perusahaan juga tidak menyebutkan kapan serangan dimulai atau berapa banyak pelanggan yang terdampak. The Register yang melaporkan berita ini mengonfirmasi bahwa Arista tidak segera merespons pertanyaan lebih lanjut.
Meski tanpa detail lengkap, pengakuan adanya eksploitasi aktif sudah cukup bagi CISA untuk memasukkan celah ini ke dalam Katalog Kerentanan yang Telah Dieksploitasi (KEV). Daftar ini biasanya menjadi acuan bagi tim keamanan di sektor swasta untuk menentukan patch mana yang tidak bisa ditunda.
Yang perlu digarisbawahi: celah ini hanya memengaruhi pel pelanggan yang menjalankan VeloCloud Orchestrator di server mereka sendiri. Pelanggan yang menggunakan layanan hosted atau dedicated dari Arista sudah mendapatkan perbaikan sebelum advisory diterbitkan. Bagi pengguna on-premises, Arista telah merilis versi perbaikan pada VeloCloud Orchestrator 5.2.3.14, 6.1.3.4, 6.4.2.4, dan 7.0.0.1.
Sambil menunggu proses patching, Arista merekomendasikan administrator membatasi akses antarmuka web hanya ke jaringan manajemen yang tepercaya dan memblokir alamat IP yang terkait dengan serangan yang teramati. Langkah ini bersifat sementara, karena celah tetap bisa dieksploitasi selama antarmuka web masih terbuka.
Kasus ini bukan pertama kalinya terjadi. Sepanjang tahun lalu, berbagai perangkat jaringan seperti VPN, firewall, dan software enterprise edge lainnya mengalami pola serupa: pelanggan baru mengetahui adanya masalah setelah peretas sudah membuktikan bahwa celah tersebut layak dieksploitasi. Bagi tim IT di Indonesia yang mengelola infrastruktur SD-WAN untuk kantor cabang atau pusat data, kejadian ini menjadi pengingat bahwa kecepatan patching sering kali menjadi satu-satunya benteng terakhir.