CVSS 10 из 10 - это как получить от школьного учителя не пятёрку с плюсом, а формальное признание, что хуже просто не бывает. Именно такую оценку получила уязвимость CVE-2026-16812 в Arista VeloCloud Orchestrator - критическая инъекция команд операционной системы, позволяющая захватить устройство без всякой авторизации.
CISA добавила уязвимость в свой каталог активно эксплуатируемых угроз (KEV) 27 июля - и это произошло достаточно быстро после раскрытия, что само по себе показатель серьёзности реальных атак, а не теоретического риска. Патчи уже вышли для версий 5.2.3.14 и новее, 6.1.3.4 и новее, 6.4.2.4 и новее, а также 7.0.0.1 и новее. Кто не обновился - формально сидит с открытой дверью, к которой злоумышленники уже знают дорогу.
Arista VeloCloud - это не нишевый продукт для энтузиастов, а часть SD-WAN инфраструктуры, через которую крупные компании соединяют офисы и филиалы. Дырка с максимальным баллом в таком узле - это как найти CVSS 10 не в отдельном замке на одной двери, а в системе, которая держит замки во всех дверях здания одновременно.
Для обычных пользователей. Прямого действия немного - это корпоративное сетевое оборудование, но ваши данные могут идти именно через такие узлы у провайдера услуг или работодателя, так что косвенно риск есть у всех.
Для бизнеса и CISO. Сетевая инфраструктура типа SD-WAN часто оказывается слепой зоной - патчат серверы и рабочие станции, а на маршрутизаторы и оркестраторы забывают. Стоит хотя бы проверить прямо сейчас: какая версия VeloCloud Orchestrator стоит у вас, и когда команда сети последний раз сверяла список KEV от CISA со своим парком оборудования.
CVSS 10 baллы встречаются нечасто, и когда они появляются в активно эксплуатируемом сетевом продукте, это всегда повод для немедленного действия, а не для чтения новости с чашкой чая. Ожидаю, что за следующие недели список пострадавших компаний будет расти - обновляйтесь, пока не оказались в этом списке вы.
Автор: Беляев Дмитрий
〰️〰️〰️
📝Связаться с Дмитрием
〰️〰️〰️
👆👆👆👆👆
✔️Подпишись на канал🔥
🕒 [Ранний доступ к подкастам] 🔥
▶️ [Чат]
🛒 [Все проекты] 🔥
🟡 [Менторство] 🔥
⚡️ [Буст BS]
🤔 [Стикеры]
🔜🔜🔜
💥 Почему нужно попасть на проект [Belyaev_Security]
#кибербезопасность #cybersecurity #zeroday #CISA #networksecurity
Источники: The Hacker News