対象：AristaのSD-WAN管理基盤 VeloCloud Orchestrator（VCO）を自社で運用している組織のネットワーク・セキュリティ担当者。本記事はAristaのセキュリティ勧告と米CISAの公開情報にもとづく解説で、攻撃の手順は扱いません。
続報待ち：この記事は公式発表に合わせて更新します
2026年10月24日12時45分（日本時間）時点まだ分かっていないこと
- 悪用が始まった時期と、攻撃した者
- 7.0系が今回の一覧にない理由と、7月・9月の脆弱性の7.0系の修正版
- 9月の脆弱性（CVE-2026-93952）の6.1系の修正版
- 日本の公的機関（JPCERT/CC・IPA）の注意喚起
Aristaは10月22日に勧告（Security Advisory 0199、版1.0）を出し、米CISAは10月23日にKEVに加えました。悪用が始まった時期や攻撃した者は公表されていません。公開されている攻撃コードは、勧告にもCISAの一覧にも書かれていません。勧告が改訂されたら、この記事を更新します。
今日やること（オンプレミスのVCOを運用している場合）
バージョンを確かめ、系統ごとの修正版を決める
VCOのバージョンを確かめ、下の表で目指す版を決めます。今回の修正版（5.2.3.18、6.1.3.10、6.4.2.12）は、7月・9月の修正版より新しい番号です。前の修正を済ませていても、もう一度更新が必要です。
更新の前に、ログとファイルの時刻を保存する
Aristaは、侵害が疑われる場合、復旧の前にWebのアクセスログ、アプリケーションのログ、システムのログ、データベースのログ、関係するファイルの時刻を保存するよう求めています。更新や作り直しで消える前に、別の場所へ写しを取ります。
修正版に上げる
各系統の最新の修正版に上げます。今回の勧告は、一覧にない版は影響を受けないとしていて、7.0系は一覧にありません。ただし7.0系は7月・9月の脆弱性の修正版も示されていないため、Arista TAC（技術サポート窓口）に確かめます（当サイトの判断）。サポートが終わったバージョンは、勧告では評価されていません。
管理画面に届く通信を絞る
VCOは既定で露出し、露出を防ぐ設定はないとAristaはしています。前段のファイアウォールで、VCOのWeb画面に届く送信元を、信頼できる管理用ネットワークに限ります。絞る前に、VeloCloud Edgeからの接続など、運用に必要な通信を確かめておきます。
侵害の痕跡を確かめる
下の「侵害の確かめ方」の項目を確かめます。悪用が始まった時期は公表されていないので、残っているログはできるだけさかのぼって見ます。勧告には攻撃に使われた送信元の一覧も載っているので、Aristaの勧告を開いて、自社のログに含まれていないか照合します。
利用者アカウントを棚卸しする
今回の脆弱性は、テナント向けの役割で最も低いEnterprise Read Onlyでも悪用できます。使っていないアカウント、退職者や委託先のアカウント、共有のアカウントを止め、残すアカウントのパスワードを見直します。
系統ごとの修正版（3件の勧告をまとめた表）
3件の勧告は、それぞれ別の修正版を示しています。1つの系統で目指す版を決めるために、当サイトがAristaの3件の勧告を並べました。
| 系統 | 7月 CVE-2026-16812（SA-0144） | 9月 CVE-2026-93952（SA-0183） | 10月 CVE-2026-114625（SA-0199） | 目指す版 |
|---|---|---|---|---|
| 5.2系 | 5.2.3.14以降で修正 | 5.2.3.16以降で修正 | 5.2.3.18以降で修正 | 5.2.3.18以降 |
| 6.1系 | 6.1.3.4以降で修正 | 影響は6.1.3.7以下。修正版の一覧に6.1系は記載なし | 6.1.3.10以降で修正 | 6.1.3.10以降（9月分の扱いはArista TACに確認） |
| 6.4系 | 6.4.2.4以降で修正 | 6.4.2.8以降で修正 | 6.4.2.12以降で修正 | 6.4.2.12以降 |
| 7.0系 | 影響は7.0.0.1より前。修正版の一覧に7.0系は記載なし | 影響は7.0.0.2以下。修正版の一覧に7.0系は記載なし | 一覧に記載なし（勧告は一覧にない版は影響なしとしている） | Arista TACに確認（7月・9月分の修正版が未記載のため） |
| サポートが終わった版 | 評価されていない | Arista TACに相談 | 評価されていない | Arista TACに確認 |
9月の勧告（SA-0183）は、ほかの系統の修正版は追って追加するとしています。10月24日に確認した版1.1の時点で、修正版が載っていないのは6.1系と7.0系です。
7月 SA-0144
5.2.3.14 で修正
9月 SA-0183
5.2.3.16 で修正
10月 SA-0199
5.2.3.18 で修正（ここまで上げる）
何が公表されたのか（Aristaの勧告より）
- CVE
- CVE-2026-114625
- 種類
- SQLインジェクション（CWE-89）
- 深刻度
- CVSS v4.0で9.4、v3.1で9.9（Aristaの評価。NVDはAristaの評価を載せている）
- 影響
- ログインできる利用者が、運用者（operator）の権限を得て、ローカルの「superuser operator」になりすませる。内部用の機能に遠隔から届き、VCOのサーバーとVCOが管理するデータの機密性・完全性・可用性が損なわれうる
- 必要な条件
- VCOのWeb画面に届くことと、有効なログイン。必要な役割は、テナント向けの組み込みの役割で最も低いEnterprise Read Only。VCOは既定で露出し、露出を防ぐ設定はない
- 対象
- VeloCloud Orchestrator On-Prem：5.2.3.18より前の5.2系、6.1.3.10より前の6.1系、6.4.2.12より前の6.4系。7.0系は一覧になく、一覧にない版は影響を受けないとしている。サポートが終わったバージョンは評価していない
- 対象外
- VeloCloud Edge、VeloCloud Gateway、EOSを使うArista製品など
- クラウド版
- Hosted（Dedicatedを含む）は影響を受けたが、修正済み
- 悪用
- Aristaが検知し、実際に悪用されている（known to be actively exploited）としている
米CISAは10月23日にCVE-2026-114625をKEVに加え、連邦政府機関の対応期限を10月26日としました。KEVでは、この脆弱性をフォレンジック（侵害の調査）のトリアージが必要な対象としています。ランサムウェアでの使用は「不明」です。
3か月で3件：これまでの経緯
2026年7月27日
AristaがSA-0144でCVE-2026-16812（OSコマンドインジェクション、CVSS 10.0）を公表。ログイン不要で、外部から見つかり悪用されているとした。CISAが同日KEVに追加（期限7月30日）。8月3日
SA-0144を改訂し、Hosted版も影響を受ける製品に加えた。9月22日
AristaがSA-0183でCVE-2026-93952（入力検証の不備、CVSS v3.1 10.0・v4.0 9.5）を公表。ログイン不要で、VeloCloud EdgeからVCOへの証明書による認証を設定している場合が対象。外部から見つかり悪用されているとした。CISAが同日KEVに追加（期限9月25日）。10月22日
AristaがSA-0199でCVE-2026-114625（SQLインジェクション、CVSS v4.0 9.4）を公表。Arista自身が検知し、悪用されているとした。10月23日
CISAがKEVに追加（期限10月26日）。
7月と9月の2件はログインが要らず、今回の1件はログインが必要です。種類はそれぞれ違いますが、3件とも、内部用の機能に遠隔から届き、VCOのサーバーに影響しうると説明されています。3件の勧告は共通して、管理画面に届く通信を管理用ネットワークに絞ることなどを一時的な対策に挙げています。
侵害の確かめ方（勧告に書かれている項目）
更新の前に記録を残す
Aristaは、侵害が疑われる場合、復旧の前にWebのアクセスログ、アプリケーションのログ、システムのログ、データベースのログ、関係するファイルの時刻を、運用上可能な範囲で保存するよう求めています。更新やサーバーの作り直しを先にすると、調べる材料が消えます。
| 見る場所 | 確かめること（勧告より） |
|---|---|
| Webのアクセスログ | 見慣れないURLの形、エンコードされた文字、ローカルや内部のサービスを指す記述、異常に多いリクエスト |
| 送信元 | 勧告に載っている、攻撃に使われた送信元からの接続（一覧はAristaの勧告で確認） |
| VCOからの外向き通信 | 想定していない外部への通信。通常の運用で使わない外向きのポートは閉じることを検討 |
| サーバーの中 | 不審な常駐プログラム（デーモン）やWebシェル |
| 管理者の操作 | 最近の管理者の操作に、身に覚えのない変更がないか |
9月の勧告（SA-0183）と7月の勧告（SA-0144）は、さらに次の項目も挙げています。設定の重要な変更が管理者の作業と合っているか、想定外のコマンド実行・ファイル作成・データベースの書き出し、データベースや設定・機器の一覧・認証情報・証明書・鍵への想定外のアクセスです。SA-0183には確認すべきファイル名などの痕跡も載っていて、見つかった場合はVCOの状態を保存してArista TACに連絡するよう求めています。
侵害が見つかったとき
7月と9月の勧告は、更新後の対応として次を挙げています。VCOが侵害されると、攻撃した者がVeloCloud Edgeの機器にも届くおそれがあるとしています。
- 認証情報の入れ替え
- 管理者の操作の見直し
- 管理している機器（Edge）の状態の確認
- 信頼できる配布元から、VCOを復元するか置き換える
当サイトの見方：管理基盤はインターネットに出さない
VCOは、各拠点のSD-WAN機器の設定をまとめて管理する場所です。ここを取られると、攻撃した者がVeloCloud Edgeの機器にも届くおそれがあると、Arista自身が勧告で書いています。
3件の勧告は、どれも「VCOのWeb画面に届くこと」を攻撃の条件にしています。7月と今回の勧告は、VCOは既定で露出し、露出を防ぐ設定はないとしています。つまり、守る側が自分で前段のネットワークで絞らない限り、次の脆弱性が出たときも同じ状態から始まります。3か月で3件という間隔を見ると、修正版が出るのを待つだけの運用では間に合いません。
次の脆弱性で同じことが起きる運用
- 管理画面がインターネットのどこからでも開ける
- 修正版を当てたら作業を終える
- 読み取り専用のアカウントは安全だと考えて放置する
- VCOから外への通信を制限していない
次の脆弱性の影響を小さくする運用
- 管理画面は管理用ネットワークやVPNの内側からだけ開ける
- 更新のたびに、更新前のログを保存して痕跡を確かめる
- アカウントを定期的に棚卸しし、使わないものは止める
- VCOからの外向き通信を、運用に必要な宛先に限る
VPN機器やファイアウォールの管理画面でも、同じ型の悪用が続いています。外部に出ている管理画面の洗い出し方は、VPN機器とリモートアクセスの守り方にまとめています。KEVに入った脆弱性を優先する考え方はCVEの直す順番の決め方（CVSS・EPSS・KEV）を参照してください。
まだ分かっていないこと
| 項目 | 状態 |
|---|---|
| 悪用されている事実 | 確定（Arista、CISA） |
| 悪用が始まった時期・攻撃した者 | 記載なし |
| 被害を受けた組織の数 | 記載なし |
| 公開されている攻撃コード | 記載なし（勧告・KEVとも） |
| 7.0系が今回の一覧にない理由 | 記載なし（勧告は一覧にない版は影響なしとしている） |
| 9月の脆弱性の6.1系・7.0系の修正版 | 記載なし（追って追加するとしている） |
| 日本の公的機関の注意喚起 | 10月24日時点で、JPCERT/CC・IPAの注意喚起は見当たらない |
日本国内でVCOを使っている組織の数や名前は公表されていません。当サイトは推測で特定の組織を挙げません。
出典
- Arista「Security Advisory 0199」（CVE-2026-114625、2026年10月22日、版1.0） — arista.com
- Arista「Security Advisory 0183」（CVE-2026-93952、2026年9月22日、版1.1） — arista.com
- Arista「Security Advisory 0144」（CVE-2026-16812、2026年7月27日、版1.2） — arista.com
- 米CISA「Known Exploited Vulnerabilities Catalog」（CVE-2026-114625） — cisa.gov
- NVD「CVE-2026-114625」 — nvd.nist.gov
更新履歴
2026-10-24：初版。Aristaの3件の勧告（SA-0144・SA-0183・SA-0199）と米CISAのKEVにもとづく。
次に読む
- 外部に出ている機器の守り方：VPN機器とリモートアクセスの守り方
- 優先順位の決め方：CVEの直す順番の決め方（CVSS・EPSS・KEV）
- 侵害の確かめ方：サーバーが不正アクセスされたか調べる方法
- 同じ週の緊急の脆弱性：PHP脆弱性 CVE-2026-109618・CVE-2026-109619
- 用語：SQLインジェクションとは ／ CVSSとは