CVE.futuretools
FAQ
NVD NIST
CVE-2026-16812CISA KEV · АКТИВНО В АТАКАХ

VeloCloud Orchestrator OS Command Injection

CVSS 3.1Critical
10.0/ 10.0
Опубликовано
Обновлено
В атаках
Подтверждено CISA
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 5.2.3.14, 6.1.3.4, 6.4.2.4, 7.0.0.1
Облачные инстансы Hosted и Dedicated уже пропатчены вендором. Для on-prem инсталляций VeloCloud Orchestrator необходимо незамедлительно применить официальные обновления безопасности от вендора либо ограничить сетевой доступ к интерфейсам управления VCO через периметровый файрвол/ACL, запретив входящие подключения из недоверенных сетей.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Уязвимость внедрения команд ОС в VeloCloud Orchestrator (VCO) on-prem позволяет удаленному атакующему получить доступ к привилегированному внутреннему функционалу хоста. Уязвимость находится под активной эксплуатацией in-the-wild.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Дефект связан с некорректным ограничением сетевого доступа к внутренним служебным интерфейсам VeloCloud Orchestrator. Функционал администрирования, рассчитанный исключительно на локальное использование, оказался доступен для удаленных запросов, что позволяет неавторизованному или непривилегированному атакующему внедрять и выполнять команды операционной системы на целевом сервере VCO.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Выполнение произвольных команд ОС (RCE) на хосте VCO с компрометацией конфиденциальности, целостности и доступности как самого оркестратора, так и всех управляемых им сетевых конфигураций и данных.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

Arista NetworksVeloCloud Orchestrator On-Prem
>= 5.2.0➔Fix: 5.2.3.14
Arista NetworksVeloCloud Orchestrator On-Prem
>= 6.1.0➔Fix: 6.1.3.4
Arista NetworksVeloCloud Orchestrator On-Prem
>= 6.4.0➔Fix: 6.4.2.4
Arista NetworksVeloCloud Orchestrator On-Prem
>= 7.0.0➔Fix: 7.0.0.1

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (1)

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-16812: VeloCloud Orchestrator OS Command Injection. URL: https://cve.futuretools.ru/cve/CVE-2026-16812
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_16812,
  title = {{CVE-2026-16812: VeloCloud Orchestrator OS Command Injection}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-16812}},
  note = {Оперативный инженерный анализ киберугроз}
}