Le 22 octobre 2026, Arista révèle que l’orchestrateur SD-WAN VeloCloud (VCO) on-prem est victime d’une injection SQL activement exploitée : n’importe quel utilisateur authentifié, jusqu’au rôle Enterprise Read Only, devient le super-utilisateur operator. Si vous hébergez un VCO, montez immédiatement vers les versions corrigées et partez du principe que chaque compte, y compris en lecture seule, a pu être abusé.

Le 22 septembre 2026, CISA a inscrit au catalogue KEV une faille d’input validation notée CVSS 10 dans l’orchestrateur VeloCloud on-prem d’Arista, exploitable sans identifiant. Restreignez l’accès réseau à l’interface web du VCO et appliquez le correctif avant le 25 septembre.