Arista VeloCloud Orchestrator'da azami puanlı açık: aktif istismarda, CISA'dan 2 günlük yama süresi
CVE-2026-16812 kodlu açık, VeloCloud Orchestrator'ın kendi içi kullanım için ayrılmış ayrıcalıklı işlevlerine kimlik doğrulamasız uzaktan erişim sağlıyor ve CVSS ölçeğinde mümkün olan en yüksek puanı (10.0) alıyor. Arista, on-premises dağıtımlar için yamayı yayınladı; ABD CISA açığı Bilinen İstismar Edilen Açıklar kataloğuna ekleyerek federal kurumlara 30 Temmuz'a kadar süre tanıdı. Barındırılan (Hosted/Dedicated) VCO dağıtımları duyurudan önce yamalanmış ve etkilenmiyor.
Ağ ekipmanı üreticisi Arista, SD-WAN dağıtımlarını merkezi olarak yöneten VeloCloud Orchestrator (VCO) yazılımının kendi barındırılan (on-premises) sürümlerinde azami önem derecesine sahip bir güvenlik açığını yamaladı. CVE-2026-16812 olarak izlenen açık, kimlik doğrulaması yapılmamış saldırganların normalde yalnızca dahili kullanım için ayrılmış ayrıcalıklı işlevlere uzaktan erişmesine izin veriyor ve CVSS ölçeğinde 10.0 üzerinden 10.0 puan alıyor — bu skalada ulaşılabilecek en yüksek seviye.
Ne oldu
VeloCloud Orchestrator, kurumların SD-WAN uç cihazlarını yapılandırmak, izlemek ve yönetmek için kullandığı merkezi bir platform. Açığın başarılı istismarı, orkestratörün ve yönettiği verinin gizliliğini, bütünlüğünü ve kullanılabilirliğini tehlikeye atabiliyor — pratikte bir saldırganın ağın omurgasındaki yapılandırma katmanına sızabileceği anlamına geliyor.
Arista, açığın dışarıdan bir kaynak tarafından bildirildiğini ve halihazırda aktif olarak istismar edildiğini doğruladı, ancak saldırıların ne zaman başladığı, kimlerin sorumlu olduğu veya açığın tam olarak nasıl kullanıldığı konusunda detay paylaşmadı.
Yama ve süre
Açık, VCO 5.2.3.14, 6.1.3.4 ve 6.4.2.4 ile sonraki sürümlerde giderildi; 7.0.0.1 ve sonrası sürümler zaten etkilenmiyor. Arista’nın kendi barındırdığı (Hosted) ve Dedicated VCO dağıtımları, güvenlik duyurusu yayınlanmadan önce zaten yamalanmış durumda.
ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), açığı Bilinen İstismar Edilen Açıklar (KEV) kataloğuna ekledi — bu, federal sivil yürütme organı kurumlarının yamayı 30 Temmuz 2026’ya kadar uygulamasını zorunlu kılıyor. Etkilenen on-premises VCO işleten kurumların yama takvimini beklemeden hemen harekete geçmesi öneriliyor.
SD-WAN altyapısını merkezi yöneten bir yönetim panelindeki azami-puanlı ve aktif istismar edilen açık, kurumsal ağ operatörleri için 'yama önce, soru sonra' önceliğini zorunlu kılıyor — VCO gibi kritik yönetim düzlemi ürünleri saldırganlar için giderek daha çekici hedef haline geliyor.
- The Hacker News — Attackers Exploit Arista VeloCloud Orchestrator Command Injection Flaw · 2026-07-28
- The Register — Arista patches actively exploited VeloCloud bug as CISA puts admins on the clock · 2026-07-28
- SecurityWeek — Critical Arista VeloCloud Orchestrator Vulnerability Exploited as Zero-Day · 2026-07-28
Bu haber ozgun ozet olarak hazirlanmistir; telif hakki ilgili kaynaklara aittir. Tam metin icin kaynak baglantilarini ziyaret edin.
Ilgili Haberler
'Kriptografik Bağlam Enjeksiyonu' — Grok, şifrelenmiş talimatlarla kandırılıp kullanıcı verisini sızdırdı
Güvenlik firması Adversa, xAI'nin Grok modelini basit ama etkili bir teknikle kandırdı: zararlı talimatı düz metin yerine şifreleyip sayfaya gömdü, çözme anahtarını da yanına ekledi. Modelin statik güvenlik filtresi düz metin talimatı reddederken şifreli metni 'anlamsız' sayıp geçirdi; model kendi kod-çalıştırma ortamında şifreyi çözünce filtre bir daha devreye girmedi ve kullanıcı verisi saldırganın sunucusuna sızdı. Aynı teknik Gemini'de de jailbreak için kullanıldı.
AI kodlama ajanları sahte kurulum talimatlarını izleyip kurumsal ağlara sahipsiz kod bulaştırdı
İsrailli bir güvenlik araştırma ekibi, 6.214 kurumsal web sitesini taradı ve 120 sitede kayıtsız paket veya alan adlarına işaret eden 227 sahte kurulum komutu buldu. Araştırmacılar bu boş isim alanlarını kendileri kayıt ettirip tuzak kurunca, aralarında büyük şirketlerin de bulunduğu düzinelerce kurumdan sinyal aldı; sahte talimatları sorgusuzca çalıştıran ajanların önde gelen üç AI kodlama asistanı olduğu tespit edildi.
ShinyHunters, ilaç dağıtım devi McKesson'dan milyonlarca hasta kaydı çaldığını iddia etti
ABD'nin en büyük ilaç ve tıbbi malzeme dağıtıcılarından McKesson, çalışanlarının oltalama ve sosyal mühendislikle kandırılarak bulut hesaplarına sızıldığını doğruladı. ShinyHunters hacker grubu isim, adres, sosyal güvenlik numarası, teşhis ve ilaç bilgisi dahil milyonlarca satır veri çaldığını iddia edip fidye talep etti. Haber, McKesson'ı son aylarda aynı grup tarafından hedef alınan sağlık şirketleri zincirine ekliyor.