Arista-ի տեղեկացմամբ՝ տեղային տեղակայումների խոցելիությունը նույնականացված օգտատիրոջը թույլ է տալիս ստանալ օպերատորի արտոնություններ։ Ընկերությունը խորհուրդ է տալիս ադմինիստրատորներին տեղադրել շտկումներն ու սահմանափակել վեբ հասանելիությունը։
Հոկտեմբերի 22-ին BleepingComputer-ը հաղորդել է, որ Arista Networks-ն անվտանգության թարմացումներ է թողարկել տեղային VeloCloud Orchestrator-ի կրիտիկական խոցելիությունը շտկելու համար։ Ընկերության տեղեկացմամբ՝ հարձակվողներն այն ակտիվորեն շահագործում են։ Ըստ The Hacker News-ի՝ հոկտեմբերի 24-ի հաղորդման՝ ԱՄՆ-ի կիբեռանվտանգության և ենթակառուցվածքների անվտանգության գործակալությունը հոկտեմբերի 23-ին խոցելիությունը ներառել է շահագործման հայտնի դեպքեր ունեցող խոցելիությունների իր ցանկում՝ վկայակոչելով ակտիվ շահագործման մասին հաղորդումները։
VeloCloud Orchestrator-ը կամ VCO-ն վեբ հարթակ է, որը ծառայում է ծրագրային միջոցներով սահմանվող լայնատարած ցանցերի և դրանց առնչվող եզրային սարքերի կարգաբերմանը, մշտադիտարկմանն ու կառավարմանը։ Այդ ցանցերը կառավարվում են ծրագրային ապահովման միջոցով։ BleepingComputer-ը խոցելիությունը նկարագրում է որպես «զրոյական օրվա» խոցելիություն, այսինքն՝ հարձակվողներն այն շահագործում էին դեռ մինչև շտկման հասանելի դառնալը։ Հոկտեմբերի 22-ին The Hacker News-ը հաղորդել է, որ հուլիսին և սեպտեմբերին շահագործված VCO-ի խոցելիությունների շտկումները պարունակող տարբերակները շարունակում են խոցելի մնալ այս խոցելիության նկատմամբ։
Ցանկում ներառելով CVE-2026-114625 նույնացուցիչով խոցելիությունը՝ ԱՄՆ-ի գործակալությունը պաշտոնապես ճանաչել է, որ դրա շահագործման դեպքեր հայտնի են։ Ըստ The Hacker News-ի՝ խոցելիությունների ծանրության գնահատման CVSS սանդղակով այն ստացել է կրիտիկական՝ 9,9 գնահատականը և հուլիսից ի վեր շահագործված VCO-ի երրորդ խոցելիությունն է։
Ըստ The Hacker News-ի՝ Arista-ն ընդունում է ակտիվ շահագործման փաստը, սակայն չի նշել հարձակվողների որևէ կոնկրետ խմբի, չի հայտնել տուժած կազմակերպությունների թիվը և չի մանրամասնել, թե հարձակվողներն ինչ են արել ավելի բարձր արտոնություններ ստանալուց հետո։
W27-ը պահպանել է Galaxy Z Fold 8 Ultra-ի հիմնական սարքավորումները։ Այն հասանելի է մուգ կարմիր կամ մուգ կապույտ գույներով, ոսկեգույն շեշտադրումներով և երկու տարբերակում էլ ունի 16 ԳԲ օպերատիվ հիշողություն։
2 րոպե
Ըստ The Hacker News-ի՝ հոկտեմբերի 22-ի հաղորդման՝ Arista-ի տարբերակային ուղեցույցը խոցելիությունից տուժող յուրաքանչյուր տարբերակային ճյուղի համար առանձին շտկում է նշում։
| Տարբերակային ճյուղ | CVE-2026-114625-ից տուժող տարբերակները | CVE-2026-114625-ը շտկված է | Սեպտեմբերյան խոցելիությունը շտկված է |
|---|---|---|---|
| 5.2 | 5.2.3.18-ից առաջ թողարկվածները | 5.2.3.18-ում և այս ճյուղի ավելի նոր տարբերակներում | 5.2.3.16-ում |
| 6.1 | 6.1.3.10-ից առաջ թողարկվածները | 6.1.3.10-ում և այս ճյուղի ավելի նոր տարբերակներում | Շտկված տարբերակ նշված չէ |
| 6.4 | 6.4.2.12-ից առաջ թողարկվածները | 6.4.2.12-ում և այս ճյուղի ավելի նոր տարբերակներում | 6.4.2.8-ում |
Հոկտեմբերի 22-ի դրությամբ Arista-ն սեպտեմբերյան CVE-2026-93952 խոցելիության շտկումներ էր նշել միայն 5.2 և 6.4 ճյուղերում։ Ընկերության սեպտեմբերյան անվտանգության ծանուցման մեջ խոցելի են նշված 6.1 ճյուղի տարբերակները՝ մինչև 6.1.3.7-ը ներառյալ, սակայն շտկված տարբերակ նշված չէ։ Ըստ The Hacker News-ի՝ երկու ծանուցումներից ոչ մեկում չի ասվում՝ արդյոք 6.1.3.10-ը շտկում է նաև սեպտեմբերյան խոցելիությունը։
Arista-ն հայտնում է, որ հոսթինգում տեղակայված և առանձնացված Orchestrator համակարգերն արդեն շտկված են։ BleepingComputer-ը նույնպես նշել է նույն երեք տարբերակային շեմերը՝ հոսթինգում տեղակայված շտկված համակարգերի համար։
CVE-2026-114625 խոցելիությունը շահագործելու համար հարձակվողը պետք է ունենա բազային արտոնություններ, ցանցային հասանելիություն VCO-ի վեբ միջերեսին և մուտք գործելուց հետո ստեղծված վավեր աշխատաշրջան։ BleepingComputer-ն այն նկարագրում է որպես SQL ներարկման խոցելիություն, որի շահագործումը բարդ չէ։ Այն թույլ է տալիս վնասաբեր մուտքային տվյալներով փոխել տվյալների բազային տրվող հրամանները և, ըստ լրատվամիջոցի, չի պահանջում օգտատիրոջ որևէ գործողություն։
Arista-ի տեղեկացմամբ՝ խոցելի համակարգում ցանկացած նույնականացված օգտատեր կարող է ստանալ օպերատորի արտոնություններ և ներկայանալ որպես տեղային «գերօգտատեր օպերատոր»։ Դա հասանելիություն է տալիս ներքին գործառույթների, որոնք նախատեսված չեն հեռավար հասանելիության համար։ Խոցելիության շահագործումը կարող է ազդել VCO-ն գործարկող սերվերի վրա, հանգեցնել կառավարվող տվյալների բացահայտման կամ փոփոխման, ինչպես նաև խափանել Orchestrator-ի և դրա տվյալների հասանելիությունը։
Մինչև շտկումների տեղադրումը Arista-ն ադմինիստրատորներին խորհուրդ է տալիս VCO-ի վեբ միջերեսը հասանելի դարձնել միայն վարչարարական ցանցերից, հետևել հայտնի վնասաբեր հասցեներից կապերին և ստուգել ադմինիստրատորների գործողությունները՝ անսովոր փոփոխություններ հայտնաբերելու համար։ Վեբ հասանելիության գրանցամատյաններում պետք է ստուգել URL-ի նմանվող անսովոր ուղու բաղադրիչների, կոդավորված նիշերի, տեղային կամ ներքին ծառայություններին հղումների առկայությունը, ինչպես նաև հարցումների անսովոր բարձր հաճախականությունը։
Arista-ն մասնավորապես խորհուրդ է տալիս արգելափակել 74[.]82.197.86 և 38[.]54.50.151 հասցեները, որոնք, ըստ ընկերության, նկատվել են ընթացիկ հարձակումների ժամանակ։
Ներխուժման կասկածի դեպքում Arista-ն խորհուրդ է տալիս, նախքան հետևանքների վերացումը, պահպանել VCO-ի վեբ հասանելիության, սերվերային հավելվածների, համակարգի ու տվյալների բազայի գրանցամատյանները, ինչպես նաև ֆայլային համակարգի համապատասխան ժամանակային նշումները՝ եթե դա գործնականում հնարավոր է։ Օգնության համար հաճախորդները կարող են դիմել Arista-ի տեխնիկական աջակցության կենտրոնին։
Ըստ The Hacker News-ի՝ ԱՄՆ-ի դաշնային գործադիր իշխանության քաղաքացիական գերատեսչություններին խորհուրդ է տրվել շտկումները տեղադրել մինչև հոկտեմբերի 26-ը՝ հաշվի առնելով խոցելիության ակտիվ շահագործումը։
Արբանյակային օպերատորը 2027–2034 թվականների ներդրման դիմաց ակնկալում է օգտվել OneWeb-ի ներկայիս թողունակությունից ավելի քան կրկնակի հզորությունից։ IRIS²-ի առաջին ծառայությունները սպասվում են 2030 թվականից։
3 րոպե
Սև, ոսկեգույն և կանաչ տարբերակի նախնական պատվերները սպառվել էին սեպտեմբերին։ Թողարկման օրը Nintendo-ի համալրած պաշարները նույնպես արագ սպառվել են։
1 րոպե
Ուղղում ·
Ուղղվել է անգլերեն և հայերեն տարբերակների ձևակերպումը։
Թարմացում ·
Խոցելիությունը հոկտեմբերի 23-ին ներառվել է ԱՄՆ-ի կիբեռանվտանգության և ենթակառուցվածքների անվտանգության գործակալության ցանկում, իսկ ԱՄՆ-ի դաշնային քաղաքացիական գերատեսչություններին խորհուրդ է տրվել շտկումները տեղադրել մինչև հոկտեմբերի 26-ը։
Թարմացում ·
Ավելացվել են տեղային տեղակայումների շտկված տարբերակները, բացատրվել է, թե ինչու են նախորդ շտկումներն անբավարար, և նշվել է չպարզաբանված հարցը՝ արդյոք 6.1.3.10-ը շտկում է նաև սեպտեմբերյան խոցելիությունը։
