Le 22 septembre 2026, Arista a publié l’avis de sécurité 0183 sur CVE-2026-93952, une faille de validation d’entrée dans VeloCloud Orchestrator On-Prem. Arista confirme son exploitation active, mais le scénario décrit suppose une authentification par certificat entre VeloCloud Edge et VCO configurée, un accès réseau à l’interface web du VCO et l'accès à la partie publique du certificat Edge. Les identifiants tenant ou opérateur ne sont pas nécessaires.
Le périmètre réel de CVE-2026-93952
L’avis cible VCO On-Prem, le serveur qui administre les équipements SD-WAN Edge dans une organisation. Arista indique que les versions hosted, y compris Dedicated, ont déjà été corrigées. Cette distinction est importante : une équipe qui utilise le service hébergé ne doit pas appliquer mécaniquement les mêmes opérations qu’une équipe qui maintient un serveur local.
La note CVSS v3.1 de 10.0 reflète un impact potentiel maximal, pas la preuve que tous les environnements ont été compromis. L'avis recense comme affectées les versions 5.2.x jusqu'à 5.2.3.15, 6.1.x jusqu'à 6.1.3.7, 6.4.x jusqu'à 6.4.2.7 et 7.0.x jusqu'à 7.0.0.2. Il indique les versions 5.2.3.16 et suivantes de la branche 5.2.3, ainsi que 6.4.2.8 et suivantes de la branche 6.4.2, comme corrigées. Pour les autres branches, consultez l'avis Arista à jour ou contactez le support, notamment pour les versions non prises en charge.
Le Centre canadien pour la cybersécurité indique que CISA a ajouté la CVE à son catalogue KEV le 22 septembre 2026. Cette inscription confirme la priorité de traitement, mais ne prouve pas qu'une instance donnée a été compromise.
Ce que l’exploitation peut changer
Une fonction privilégiée de l’orchestrateur donne une vue sur les équipements, les politiques et la topologie SD-WAN. Une compromission pourrait donc dépasser le serveur de gestion et aider un attaquant à préparer d’autres accès. Les sources publiques ne décrivent pas chaque étape observée ni une liste de victimes.
Il faut donc maintenir une formulation précise : Arista confirme l’exploitation active et l’impact possible, mais cela ne permet pas de déclarer une compromission de chaque client. Chaque organisation doit traiter son propre périmètre.
Les actions des équipes réseau
Identifiez les instances VCO On-Prem, leurs versions, la configuration d'authentification par certificat et les interfaces web accessibles. Installez une version corrigée correspondant à votre branche ; si aucun correctif n'y est encore listé, suivez l'avis Arista et restreignez immédiatement l'interface à un réseau d'administration de confiance.
Après la mise à jour, préservez les journaux et recherchez les connexions d’administration inhabituelles, les comptes ajoutés, les politiques modifiées et les communications sortantes inattendues. Arista cite également le fichier /usr/local/sbin/.vcnode.js, le service /etc/systemd/system/vc-sysmon.service, le processus vc-sysmond et l'en-tête HTTP x-vc-opt parmi les indicateurs à rechercher. Vérifiez aussi les équipements Edge gérés pendant la période où l’orchestrateur était vulnérable.
Les certificats et comptes à revoir
L’orchestrateur peut connaître des comptes, certificats et secrets nécessaires à la gestion des équipements. En cas d’indice, faites tourner les identifiants de service et les certificats concernés avec l’équipe réseau. N’effacez pas les traces avant d’avoir exporté les journaux utiles à l’analyse.
Les utilisateurs doivent se méfier des demandes de reconnexion ou de validation de configuration reçues après une intervention SD-WAN. Un message qui reprend le vocabulaire d’un incident réel peut servir à capturer un accès supplémentaire.
Le lien avec Soclyde
Soclyde ne protège pas VeloCloud Orchestrator et ne modifie pas les politiques SD-WAN. Il aide à organiser les secrets que la réponse impose de renouveler, en générant des valeurs uniques et en les conservant dans des coffres chiffrés local-first plutôt que dans des exports réseau dispersés.
Ce bénéfice reste complémentaire : le correctif Arista, la restriction d’accès, l’examen des équipements Edge et l’analyse des journaux restent indispensables.
À retenir
CVE-2026-93952 est une faille critique de VeloCloud Orchestrator On-Prem qu’Arista dit activement exploitée. Vérifiez le type de déploiement, appliquez le correctif, recherchez les changements d’administration et renouvelez les secrets si nécessaire. Pour organiser cette rotation, consultez le guide du générateur de mots de passe sécurisé ou contactez Soclyde.
Pour organiser ces accès partagés avec des règles de transmission et de révocation, consultez aussi le guide de partage sécurisé des mots de passe en équipe.
