Kritische Schwachstelle in VeloCloud Orchestrator (CVE-2026-114625)
Eine kritische Sicherheitslücke (CVE-2026-114625) wurde im VeloCloud Orchestrator (VCO) in der On-Premise-Bereitstellung entdeckt. Diese ermöglicht es einem authentifizierten Benutzer, sich als lokaler "Superuser Operator" auszugeben und Zugriff auf interne, privilegierte Funktionen zu erhalten.
Was ist passiert?
Eine kritische Sicherheitslücke (CVE-2026-114625) wurde im VeloCloud Orchestrator (VCO) in der On-Premise-Bereitstellung entdeckt. Diese ermöglicht es einem authentifizierten Benutzer, sich als lokaler "Superuser Operator" auszugeben und Zugriff auf interne, privilegierte Funktionen zu erhalten. Ein erfolgreicher Angriff kann die Vertraulichkeit, Integrität und Verfügbarkeit des Orchestrators sowie der von ihm verwalteten Daten beeinträchtigen.
Wer ist betroffen?
Betroffen sind Unternehmen, die den VeloCloud Orchestrator (VCO) in einer On-Premise-Umgebung betreiben. Bei diesen Installationen kann jeder authentifizierte Benutzer erweiterte Operator-Rechte erlangen. Gehostete und dedizierte Versionen des VCO waren ebenfalls betroffen, wurden aber bereits durch den Anbieter gepatcht.
Wie kritisch ist es?
Die Schwachstelle ist mit einem CVSS-Score von 9.9 als "kritisch" eingestuft, was auf ein sehr hohes Risikopotenzial hinweist. Obwohl die Wahrscheinlichkeit einer Ausnutzung (EPSS) in den nächsten 30 Tagen bei 1 % liegt, ist die aktive Ausnutzung dieser Lücke bereits bestätigt. Sie ist seit dem 22. Oktober 2026 in der CISA Known Exploited Vulnerabilities (KEV) Datenbank gelistet, was sofortiges Handeln erfordert.
Was ist jetzt zu tun?
Unternehmen, die den VeloCloud Orchestrator (VCO) in einer On-Premise-Umgebung einsetzen, sollten umgehend prüfen, ob ein Sicherheitsupdate vom Hersteller verfügbar ist. Angesichts der kritischen Einstufung und der aktiven Ausnutzung ist es dringend empfohlen, alle notwendigen Massnahmen zur Absicherung zu ergreifen. Dazu liegen derzeit keine gesicherten Angaben vor, welche spezifischen Patch-Versionen für On-Premise-Installationen anzuwenden sind.
Quellen: NVD (CVE-2026-114625), CISA KEV, FIRST EPSS. Automatisch erstellt, redaktionell geprüft.