Peringatan Kritis: Zero-Day SQL Injection di VeloCloud Orchestrator Dieksploitasi Aktif

Dunia keamanan siber kembali dihebohkan dengan ditemukannya kerentanan zero-day kritis pada VeloCloud Orchestrator (VCO) milik Arista, sebuah sistem manajemen pusat untuk jaringan VeloCloud SD-WAN. Perusahaan telah merilis pengumuman resmi mengenai insiden ini, mengonfirmasi bahwa celah tersebut telah dieksploitasi secara aktif.

Daftar Isi

• Ancaman Eskalasi Hak Akses
• Dampak dan Skala Kerentanan
• Rilis yang Terpengaruh dan Diperbaiki
• Langkah Mitigasi Sebelum Patch
• Indikator Kompromi (IoC)

Ancaman Eskalasi Hak Akses

Kerentanan yang dilacak sebagai CVE-2026-114625 ini mendapat skor peringkat 9.9 (Critical) pada skala CVSS. Celah ini memungkinkan siapa pun yang dapat masuk ke antarmuka web orchestrator—bahkan dengan akun pelanggan hanya baca (Enterprise Read Only)—untuk meningkatkan hak aksesnya menjadi operator, yaitu tingkat kendali tertinggi atas sistem tersebut.

Dalam lingkungan VCO, operator bertugas membuat akun pelanggan dan mitra. Dengan mengeksploitasi celah ini, penyerang dapat bertindak sebagai superuser lokal, yang tidak hanya memberi mereka akses penuh ke sistem, tetapi juga berpotensi memengaruhi host VCO itu sendiri, mengekspos, memodifikasi, atau mengganggu data yang dikelolanya.

Dampak dan Skala Kerentanan

Untuk mengeksploitasi celah ini, penyerang membutuhkan akses jaringan ke antarmuka web orchestrator dan login yang valid (peran minimum Enterprise Read Only). Sayangnya, VCO secara default terekspos, dan tidak ada pengaturan standar yang mencegah paparan tersebut.

Kerentanan ini menjadi yang ketiga di VCO sejak akhir Juli yang dilaporkan telah dieksploitasi. Namun, ini adalah yang pertama dari ketiganya yang memerlukan login untuk dieksploitasi. Kerentanan sebelumnya (CVE-2026-16812 pada Juli dan CVE-2026-93952 pada September) tidak memerlukan autentikasi.

Rilis yang Terpengaruh dan Diperbaiki

Bagi pengguna VCO on-premises, patch telah tersedia di versi 5.2.3.18, 6.1.3.10, dan 6.4.2.12. Orchestrator Hosted dan Dedicated juga sudah menerima patch. Penting untuk diperhatikan bahwa orchestrator yang masih menjalankan rilis yang memperbaiki kerentanan bulan Juli dan September tetap rentan terhadap celah baru ini, karena rilis tersebut lebih lama dari perbaikan terbaru.

Perlu dicatat, VeloCloud Gateway dan VeloCloud Edge tidak terpengaruh. Rilis versi 7.0 tidak ada dalam daftar, dan Arista menyatakan bahwa rilis apa pun yang tidak ada dalam daftar tidak rentan.

Langkah Mitigasi Sebelum Patch

Hingga versi perbaikan terpasang, Arista merekomendasikan beberapa langkah mitigasi untuk mengurangi risiko:

• Batasi akses ke antarmuka web VCO hanya untuk jaringan administratif yang tepercaya.
• Pantau VCO untuk mendeteksi koneksi dari alamat IP berbahaya yang dikenal.
• Pantau aktivitas jaringan keluar (outbound) yang tidak terduga dari host VCO.
• Pertimbangkan untuk memblokir port keluar yang tidak dibutuhkan oleh operasi normal.
• Waspadai keberadaan daemon pintu belakang (backdoor) dan webshell.
• Periksa log aktivitas administrator terbaru untuk mencari perubahan yang tidak terduga.

Indikator Kompromi (IoC)

Menurut Arista, terdapat dua alamat IP yang telah terdeteksi melakukan upaya serangan ini. Blokir alamat tersebut dan periksa log sistem Anda untuk mencari jejak akses dari IP berikut:

• 74.82.197[.]86
• 38.54.50[.]151

Selain itu, periksa juga log akses web VCO untuk mencari permintaan dengan komponen jalur yang tidak biasa, karakter yang dikodekan (encoded characters), referensi ke layanan lokal/internet, atau lonjakan permintaan yang tinggi.

Jika terdapat kecurigaan adanya pelanggaran keamanan, segera simpan bukti (log akses web VCO, log sistem, dan basis data) sebelum melakukan perbaikan. Untuk celah keamanan pada Juli dan September, orchestrator yang disusupi juga dapat memberikan akses kepada penyerang ke perangkat VeloCloud Edge. Sangat disarankan untuk segera melakukan upgrade ke versi yang telah diperbaiki.