CVE-2026-114625: Escalation Critica su VeloCloud Orchestrator

Il CVE-2026-114625 interessa VeloCloud Orchestrator nelle distribuzioni on-prem. La vulnerabilità consente a qualsiasi utente autenticato di scalare i propri privilegi acquisendo il ruolo di operatore e accedendo a funzionalità destinate all'uso interno. Questa escalation bypass le restrizioni e consente accesso a componenti non destinati all'accesso remoto, mettendo a rischio l'integrità e la disponibilità dell'orchestrator.

Il punteggio CVSS è 9,9, livello critical. La vulnerabilità è stata pubblicata dall'NVD il 22 ottobre 2026. Un segnale rilevante emerge da GitHub, dove il 28 ottobre è stato pubblicato un detector offline per rilevare l'esposizione su istanze on-prem. Le versioni hosted di VeloCloud sono state già patchate, mentre le distribuzioni on-prem rimangono vulnerabili fino al patching.

Gli amministratori di istanze on-prem devono contattare il vendor per ottenere aggiornamenti e planificare il patching con urgenza. È consigliabile usare il detector GitHub per identificare quali istanze sono esposte. Nel frattempo, verificare i log di accesso e revisionare le autorizzazioni degli utenti autenticati, limitando i permessi agli account che non necessitano di privilegi elevati.

VeloCloud Orchestrator è il sistema di gestione centrale per reti SD-WAN enterprise. Un compromesso dell'orchestrator espone l'intera infrastruttura di rete, permettendo alterazioni di configurazioni, intercettazione di traffico e controllo di dispositivi edge. La gravità di questa vulnerabilità riflette il ruolo critico del prodotto nelle architetture aziendali.