2026-10-24
VeloCloud Orchestrator脆弱性 CVE-2026-114625（悪用確認）｜修正版と確認すること
Aristaは2026年10月22日、SD-WANの管理基盤VeloCloud Orchestrator（VCO）のオンプレミス版にあるSQLインジェクションの脆弱性CVE-2026-114625（CVSS v4.0 9.4、v3.1 9.9）を公表し、同社が検知したもので実際に悪用されているとした。ログインできる利用者なら、利用企業（テナント）向けの組み込みの役割で最も低いEnterprise Read Onlyでも、運用者の権限を得て「superuser operator」になりすませるという。修正版は5.2.3.18、6.1.3.10、6.4.2.12。勧告は一覧にない版は影響を受けないとしているが、7.0系が一覧にない理由は書かれていない。クラウドで提供されるHosted（Dedicatedを含む）は修正済み。米CISAは10月23日に悪用が確認された脆弱性の一覧（KEV）に加え、対応期限を10月26日とした。VCOでは7月のCVE-2026-16812（OSコマンドインジェクション、認証不要、CVSS 10.0）、9月のCVE-2026-93952（入力検証の不備、認証不要、CVSS v3.1 10.0）に続き、3か月で3件目の悪用確認となる。当サイトの結論：オンプレミスのVCOを運用している組織は、各系統の最新の修正版に今日上げ、管理画面を信頼できる管理用ネットワークだけに絞り、更新の前にログを保存して侵害の痕跡を確かめる。