Serangan Eksploitasi Celah Command Injection Arista VeloCloud Orchestrator

Peretas saat ini sedang mengeksploitasi celah keamanan kritis pada Arista VeloCloud Orchestrator (VCO) versi on-premises yang memungkinkan eksekusi perintah sistem secara tidak sah. Kerentanan yang diberi kode CVE-2026-16812 ini memiliki skor CVSS maksimum 10.0, menandakan tingkat risiko tertinggi.

Detail Kerentanan Command Injection di Arista VeloCloud Orchestrator

Menurut pengumuman resmi dari Arista pada Senin lalu, celah ini merupakan command injection yang memungkinkan pelaku serangan jarak jauh mengakses fungsi internal dengan hak istimewa, yang sebenarnya hanya diperuntukkan bagi penggunaan internal.

"VeloCloud Orchestrator (VCO) on-prem memiliki masalah keamanan di mana pelaku jarak jauh dapat mengakses fungsi internal dengan hak istimewa dan berdampak pada host VCO," kata Arista.

Eksploitasi berhasil dapat mengakibatkan kompromi pada kerahasiaan, integritas, dan ketersediaan orchestrator serta data yang dikelolanya. Hal ini berpotensi membuka akses tidak sah ke perangkat Edge yang dikelola oleh VCO.

Versi yang Terkena Dampak dan Upaya Mitigasi

Arista mengonfirmasi bahwa versi hosted dan dedicated VCO sudah diperbaiki sebelumnya, namun versi on-premises berikut masih rentan:

• VCO 5.2.x sebelum 5.2.3.14
• VCO 6.1.x sebelum 6.1.3.4
• VCO 6.4.x sebelum 6.4.2.4
• VCO 7.0.x sebelum 7.0.0.1

Perusahaan juga membagikan tiga alamat IP yang terkait dengan serangan untuk dijadikan indikator kompromi (IoC), dan menyarankan agar pelanggan memblokir alamat ini serta memeriksa log secara menyeluruh:

• 8.19.75.217
• 206.72.242.124
• 206.72.242.162

Apabila kecurigaan kompromi muncul, operator disarankan untuk menyimpan berbagai log akses dan aktivitas aplikasi, termasuk timestamp sistem sebelum melakukan remediasi.

Jika pembaruan langsung tidak memungkinkan, langkah mitigasi sementara yang dianjurkan adalah:

• Membatasi akses antarmuka web VCO hanya untuk jaringan administratif terpercaya
• Memantau akses dari IP sumber yang diketahui berbahaya
• Memeriksa aktivitas jaringan keluar yang tidak biasa dari host VCO
• Meninjau aktivitas administrator untuk perubahan yang tidak terduga

Implikasi Keamanan dan Respons Pemerintah AS

Arista memperingatkan bahwa kompromi platform VCO bisa memungkinkan peretas mengontrol perangkat VeloCloud Edge, termasuk melakukan rotasi kredensial dan restorasi sistem dari sumber terpercaya.

Menanggapi ancaman ini, Badan Keamanan Siber dan Infrastruktur Amerika Serikat (CISA) telah memasukkan kerentanan ini ke dalam katalog Kerentanan yang Dikenal Dieksploitasi (KEV), dengan tenggat bagi instansi pemerintah federal untuk menerapkan patch paling lambat tanggal 30 Juli 2026.

Selain itu, laporan tersebut juga menyinggung kerentanan lain dengan tingkat ancaman sedang pada Fortinet FortiOS SSL-VPN (CVE-2025-68686) yang baru-baru ini ditambahkan ke katalog KEV, serta kerentanan kritis di pustaka Fastjson Alibaba (CVE-2026-16723) yang belum diperbaiki.

Analisis Redaksi

Menurut pandangan redaksi, eksploitasi aktif pada command injection di Arista VeloCloud Orchestrator menandakan peningkatan risiko serius bagi organisasi yang mengandalkan solusi orkestrasi jaringan ini, terutama karena celah memungkinkan akses ke perangkat Edge yang menjadi tulang punggung infrastruktur jaringan.

Ketidaksiapan dalam melakukan pembaruan keamanan dan kurangnya pembatasan akses antarmuka manajemen dapat memperburuk dampak serangan, termasuk potensi pencurian data sensitif dan gangguan layanan kritis. Organisasi harus segera melakukan audit keamanan menyeluruh dan memperkuat kontrol akses internal.

Ke depan, pengawasan terhadap aktivitas jaringan dan penerapan strategi keamanan berlapis menjadi kunci untuk mencegah eskalasi serangan serupa, terutama dalam ekosistem perangkat IoT dan jaringan terkelola. Masyarakat dan instansi pemerintahan juga perlu mengikuti perkembangan patch keamanan dari vendor dan kebijakan dari badan keamanan siber resmi.

Untuk informasi lebih detail dan pembaruan terkini terkait celah ini, kunjungi sumber resmi di The Hacker News.