Apa yang terjadi
CISA menambahkan CVE-2026-114625 ke KEV pada 2026-10-23 dengan eksploitasi di dunia nyata yang terkonfirmasi. Ini adalah injeksi SQL di Arista VeloCloud Orchestrator yang memungkinkan pengguna jarak jauh yang terautentikasi mendapatkan hak istimewa superuser/operator dan mengompromikan host orchestrator beserta datanya. RealGround dan SOCRadar menggambarkan eksploitasi aktif sebagai senjata tepi/control-plane yang mendukung panen kredensial dan akses awal ransomware.
Mengapa penting
Meskipun targetnya adalah control plane SD-WAN terkelola, bukan model AI, ini adalah kelas yang persis menjadi alasan KEV ada: komponen manajemen/control-plane yang semakin sering diberi akses oleh agen AI dan otomasi, dan yang jendela eksploitasinya dalam siklus serangan pasca-Mythos yang dipercepat AI dapat menutup lebih cepat daripada penambalan manual. Tinjau semua orchestrator yang dapat dijangkau oleh beban kerja atau pipeline agen.
Vektor serangan
Injeksi SQL (CWE-89) di VeloCloud Orchestrator yang memungkinkan penyerang jarak jauh mengakses fungsionalitas internal yang memiliki hak istimewa dan memengaruhi host VCO; eksploitasi terkonfirmasi di dunia nyata dan dilaporkan dipersenjatai oleh kampanye pemindaian otomatis/panen kredensial (k0t) yang mendukung afiliasi ransomware.
Sistem yang terdampak
Arista VeloCloud Orchestrator (on-prem)
Mitigasi
Terapkan advisory vendor (Arista Security Advisory 0199) dan mitigasi KEV yang diperlukan sesuai CISA BOD 26-04; batasi paparan antarmuka manajemen dan pantau penggunaan hak istimewa operator yang anomali.