Arista VeloCloud Orchestrator CVE-2026-93952: bypass di autenticazione SD-WAN sfruttato in rete

Un attaccante che non ha mai avuto una password, non ha mai adescato un tenant e non ha mai toccato un account operatore ha raggiunto gli interni privilegiati della macchina che governa un'intera fabric SD-WAN — e lo ha fatto prima che Arista rilasciasse una patch. Questa è CVE-2026-93952, una vulnerabilità di improper input validation con punteggio CVSS 10.0 in Arista VeloCloud Orchestrator (VCO) On-Prem. CISA l'ha aggiunta al catalogo Known Exploited Vulnerabilities il 22 settembre 2026 imponendo alle agenzie federali una scadenza al 25 settembre — un orologio di 48 ore, che CISA riserva ai bug già usati contro reti reali.

Il motivo per cui merita più di una riga in un bollettino di patch non è il punteggio. È cosa è stato compromesso. Un orchestrator SD-WAN non è un apparato di edge. È il piano di controllo che distribuisce la configurazione a ogni filiale che gestisci.

Cos'è davvero CVE-2026-93952

Il difetto sta in come VCO On-Prem valida l'input sulla sua interfaccia web. Il Security Advisory 0183 di Arista lo descrive come improper input validation (CWE-20) che consente a un attaccante remoto di "accedere a funzionalità interne privilegiate e impattare l'host VCO", compromettendo riservatezza, integrità e disponibilità dell'orchestrator e dei dati che gestisce.

La precondizione è la parte interessante. L'attacco funziona quando sono vere tre cose:

• L'autenticazione basata su certificati tra VeloCloud Edge e VCO è abilitata.
• L'attaccante possiede la porzione pubblica di un certificato di autenticazione di un Edge.
• L'interfaccia web del VCO è raggiungibile dalla rete.

Nessuna credenziale di tenant. Nessun login operatore. La metà pubblica di un certificato che non è mai stato pensato per essere un segreto basta per entrare nelle funzionalità privilegiate. È tutta qui la forma del bug: l'orchestrator si è fidato di un valore che qualsiasi Edge — e chiunque abbia visto il certificato di un Edge — può presentare. Il report di BleepingComputer conferma che l'attacco è a bassa complessità, non richiede privilegi né interazione dell'utente, ed era già in uso quando l'advisory è uscito il 23 settembre.

Perché perdere l'orchestrator è peggio che perdere un edge

Chi difende classifica istintivamente un bug in base a dove si trova. Un concentratore VPN, un firewall, un mail gateway — ciascuno è grave. Un orchestrator SD-WAN è una categoria diversa, perché è la cosa che dice agli edge cosa fare.

Arista è esplicita: un VCO compromesso "può consentire l'accesso ai dispositivi VeloCloud Edge gestiti". Letto in termini operativi, significa che il raggio d'azione non è un host. È:

• Ogni filiale e sito remoto il cui Edge si fida di questo orchestrator per le policy.
• Il routing dell'overlay — regole di traffic steering, security policy, endpoint dei tunnel — tutto modificabile dal piano di controllo.
• Un pivot verso l'underlay, perché l'orchestrator vive in un segmento di management con visibilità su punti che un router di filiale non raggiunge mai.

È uno schema ricorrente, non una novità. Il piano di management SD-WAN è una calamita per i bug non autenticati da anni — il vManage di Cisco SD-WAN, lo stesso ruolo architetturale in uno stack di un altro vendor, ha collezionato una serie di CVE di remote code execution non autenticata e di divulgazione di informazioni lungo tutto il suo ciclo di vita. Concentri il controllo su centinaia di sedi in una singola web app affacciata su internet e hai costruito il bersaglio più prezioso della rete. CVE-2026-93952 è quella lezione che si ripresenta.

Il problema del rilevamento: un orchestrator con root si scrive i log da solo

Ecco la parte che la maggior parte degli articoli salta. Arista ha pubblicato indicatori concreti — e contano — ma bisogna capire perché sono solo metà della storia.

L'advisory elenca un kit di backdoor depositato sugli host compromessi:

Indicatore	Tipo
/usr/local/sbin/.vcnode.js	Script backdoor nascosto
/usr/local/sbin/vc-sysmond	Binario daemon malevolo
/etc/systemd/system/vc-sysmon.service	Persistenza via unit systemd
142.93.149.77, 104.248.126.159	Infrastruttura dell'attaccante
Header x-vc-opt nei log nginx	Segnale di sfruttamento

Cercali subito. Ma nota cosa sono: file su una macchina che l'attaccante ha già ottenuto in root, e righe di log in un web server che l'attaccante ora controlla.

"Cerchi .vcnode.js sul VCO e torna pulito. Buona notizia?" "Oppure l'intruso ha avuto root per sei ore e lo ha rimosso prima che tu guardassi. L'assenza di un artefatto su un host compromesso non è prova di nulla."

Una volta che un attaccante raggiunge funzionalità interne privilegiate sull'orchestrator, la telemetria dell'host diventa una dichiarazione dell'avversario, non un testimone. Il log di accesso nginx con l'header x-vc-opt è davvero utile — finché l'intruso non lo modifica. L'unit systemd è un IOC reale — finché non viene rinominata. Ogni segnale on-box in quella tabella ha la stessa debolezza: vive sulla macchina che l'attaccante possiede.

Ciò che l'attaccante non può riscrivere è la rete. Un orchestrator appena compromesso che inizia a fare beaconing verso 142.93.149.77, che apre una sessione interattiva in uscita verso un ASN mai contattato, che di colpo distribuisce configurazione agli edge con una cadenza che nessuna finestra di change spiega, o che arruola un Edge che nessuno ha provisionato — tutto questo è visibile sul filo mentre accade, e la copia sul filo non è modificabile dall'intruso. È questo il testimone onesto in una compromissione da bypass di autenticazione SD-WAN: non l'auto-report dell'apparato, ma il traffico che l'apparato genera.

Remediation

Un runbook completo, nell'ordine in cui va eseguito. Verifica ogni stringa di versione sul Security Advisory 0183 di Arista per il tuo train esatto prima di agire.

1. Sono interessato? Stai eseguendo un VCO On-Prem esposto e vulnerabile se la tua build è pari o inferiore a una di queste e la web UI è raggiungibile da una rete non fidata:

• 5.2.3.15 e precedenti (train 5.2.x)
• 6.1.3.7 e precedenti (train 6.1.x)
• 6.4.2.7 e precedenti (train 6.4.x)
• 7.0.0.2 e precedenti (train 7.0.x)

Verifica la versione nella UI del VCO o sull'host, e verifica se l'autenticazione basata su certificati tra Edge e VCO è abilitata — è la precondizione dell'exploit. Gli orchestrator hosted (cloud) di Arista erano già patchati; l'esposizione è On-Prem.

2. Patch — versioni corrette esatte. Arista conferma le build corrette:

• 5.2.3.16 e successive nel train 5.2.3
• 6.4.2.8 e successive nel train 6.4.2

Le correzioni per i train 6.1.x e 7.0.x erano in distribuzione al momento della divulgazione — prendi la build corretta esatta per il tuo train direttamente da SA-0183, perché "successive" non è un numero di versione.

3. Non puoi patchare in quest'ora? Controlli compensativi. La precondizione è la raggiungibilità di rete della web UI, quindi eliminala:

• Limita l'interfaccia web del VCO a una rete amministrativa fidata — una VLAN di management o un bastion, mai internet aperta.
• Metti davanti alla UI una allow-list sul load balancer o sul firewall; blocca gli IP noti dell'attaccante 142.93.149.77 e 104.248.126.159 come pavimento, non come soluzione.
• Se il tuo WAF lo consente, applica un virtual patch sull'header di richiesta x-vc-opt e sulle richieste con path codificati anomali segnalate dall'advisory.

4. Cerca la compromissione. Mappa la caccia sulle fasi in cui si muove l'attaccante:

• Accesso iniziale (ATT&CK T1190, exploit public-facing application): cerca nei log di accesso nginx/web l'header x-vc-opt, componenti di path insoliti, caratteri codificati e riferimenti a servizi interni — risalendo a prima della patch, non solo dopo.
• Persistenza (ATT&CK T1543.002, systemd service): controlla /etc/systemd/system/vc-sysmon.service, il daemon vc-sysmond e lo script nascosto .vcnode.js.
• Command and control: rivedi le connessioni in uscita dall'host VCO verso i due IP elencati e verso qualsiasi ASN che l'orchestrator non ha motivo di raggiungere.
• Tratta ogni risultato on-box come conferma, non come prova — abbinalo a un record off-box della stessa attività.

5. Eradica e verifica. Se trovi evidenza di compromissione, la patch non è remediation. L'orchestrator aveva accesso privilegiato a ogni Edge gestito, quindi assumi che quell'accesso sia stato usato:

• Ricostruisci l'orchestrator da un'immagine nota e sana anziché ripulirlo in loco — un host con root ottenuto non è affidabile per attestare la propria pulizia.
• Ruota ogni credenziale e certificato che il VCO poteva toccare, incluso il materiale di enrollment degli Edge, i token API e gli account operatore.
• Verifica l'attività amministrativa recente e i push di configurazione alla ricerca di modifiche che non corrispondono a un ticket di change, poi conferma che ogni Edge gestito esegua la policy che intendi — non quella lasciata da un intruso.

Dove si colloca Zero Hunt

Il problema che definisce questo incidente non è la patch — è che il dispositivo compromesso è quello su cui contavi per sapere di essere stato compromesso. Quando l'orchestrator si scrive i log da solo, l'unico resoconto di cui ti puoi fidare è quello preso dal filo.

È il caso per cui è stata costruita l'AI Traffic Analysis di Zero Hunt. Un modello di deep learning proprietario con quattro teste di inferenza parallele — traffico sospetto, classificazione malware, identificazione del tipo di attacco e fingerprinting applicativo — gira a 2,7+ Gbit/s sulla GPU dell'appliance, on-premise, senza inviare dati del cliente ad alcun cloud. Poiché la testa di fingerprinting applicativo sa che aspetto ha il traffico normale di VCO ed Edge, una shell interattiva che lascia l'orchestrator, un beacon verso un ASN mai visto o un push di configurazione fuori pattern verso la fabric SD-WAN emergono mentre accadono — non nel digest SIEM del mattino dopo, e non da un log che l'intruso ha già modificato.

A monte c'è la domanda sulla raggiungibilità, ed è dove risponde il secondo pilastro. Il CVSS 10.0 misura il bug; non ti dice se la web UI del tuo VCO è davvero raggiungibile dal segmento da cui partirebbe un attaccante, né se il certificato Edge che gli servirebbe è esposto. Zero Hunt lo esegue come un red team AI autonomo su modelli privati: uno swarm di 10 agenti prende un foothold realistico e dimostra se il bypass di autenticazione va a segno sulla tua build e topologia, con ogni finding testato in backtest nell'AI Gym prima di essere eseguito e firmato al momento della scrittura (Ed25519, hash-chained) così che l'evidenza — l'orchestrator era raggiungibile da qui, ed ecco cosa esponeva — sia verificabile e non asserita. Un umano approva le azioni che contano. E poiché un orchestrator SD-WAN trasporta traffico regolamentato, quella stessa evidenza viene mappata una volta sola sui framework che si applicano — NIS2 e DORA nell'UE tra i 34 coperti — invece di essere ricostruita per ogni audit a posteriori.