适用对象：在自有基础设施上运行 Arista SD-WAN 管理平台 VeloCloud Orchestrator (VCO) 的网络和安全团队。本页内容基于 Arista 的安全公告和 CISA 的公开数据，不涉及攻击的实现方式。
进展中：随着更多信息发布，本页将持续更新
截至 2026年10月24日 03:45 UTC尚不清楚
- 利用从何时开始，幕后是谁
- 7.0 系列为何未被列出，以及7月和9月漏洞的 7.0 修复版本
- 9月漏洞（CVE-2026-93952）在 6.1 系列上的修复版本
- 日本公共机构（JPCERT/CC、IPA）的公告
Arista 于10月22日发布了安全公告 0199（修订版 1.0），CISA 于10月23日将该漏洞加入 KEV。双方均未说明利用从何时开始，也未说明幕后是谁。公告和 KEV 条目均未提及公开的利用代码。公告修订后，本页将更新。
今天要做的事（本地部署的 VCO）
检查版本并选定目标版本
检查你的 VCO 版本，并根据下表选择要升级到的版本。此漏洞的修复版本（5.2.3.18、6.1.3.10、6.4.2.12）比7月和9月的修复版本更新。即使已安装那些修复，也需要再次升级。
升级前保留日志和文件时间戳
如怀疑已被入侵，Arista 请运营方在修复前保留 VCO 的 Web 访问日志、后端应用日志、系统日志、数据库日志以及相关的文件系统时间戳。在升级或重建覆盖它们之前，先复制到其他位置。
升级到修复版本
升级到所在版本系列的最新修复版本。本公告称未列出的版本不受影响，而 7.0 未被列出。由于7月和9月的漏洞也没有列出 7.0 的修复版本，请与 Arista TAC（技术支持中心）确认——这是本站的建议，不是公告的内容。已终止支持的版本尚未评估。
限制谁能访问管理界面
Arista 称 VCO 默认处于暴露状态，且没有任何配置可以避免这种暴露。请使用 VCO 前端的防火墙，将 Web 界面的访问限制在可信的管理网络内。收紧之前，请先确认哪些连接是运营所依赖的，例如 VeloCloud Edge 设备与 VCO 的连接。
检查是否有被入侵的迹象
按下文各节的检查项逐一排查。Arista 没有说明利用从何时开始，因此请根据你保留的日志尽可能往前追溯。公告还列出了攻击中出现的来源地址。请打开 Arista 的公告，将该列表与你自己的日志对比。
检查用户账户
此漏洞使用最低的内置租户角色 Enterprise Read Only 即可被利用。请禁用不用的账户、已离职员工或外包人员的账户以及共享账户，并检查保留账户的密码。
各版本系列的修复版本（三份公告对照）
每份公告都列出了各自的修复版本。为了每个版本系列选定一个目标版本，本站将 Arista 的三份公告并排整理如下。
| 版本系列 | 7月：CVE-2026-16812 (SA-0144) | 9月：CVE-2026-93952 (SA-0183) | 10月：CVE-2026-114625 (SA-0199) | 目标 |
|---|---|---|---|---|
| 5.2 | 5.2.3.14 及更高版本已修复 | 5.2.3.16 及更高版本已修复 | 5.2.3.18 及更高版本已修复 | 5.2.3.18 或更高 |
| 6.1 | 6.1.3.4 及更高版本已修复 | 受影响：6.1.3.7 及以下。未列出 6.1 修复版本 | 6.1.3.10 及更高版本已修复 | 6.1.3.10 或更高（请就9月漏洞与 Arista TAC 确认） |
| 6.4 | 6.4.2.4 及更高版本已修复 | 6.4.2.8 及更高版本已修复 | 6.4.2.12 及更高版本已修复 | 6.4.2.12 或更高 |
| 7.0 | 受影响：7.0.0.1 之前。未列出 7.0 修复版本 | 受影响：7.0.0.2 及以下。未列出 7.0 修复版本 | 未列出（公告称未列出的版本不受影响） | 请与 Arista TAC 确认（7月和9月均未列出 7.0 修复版本） |
| 终止支持版本 | 未评估 | 联系 TAC | 未评估 | 请与 Arista TAC 确认 |
9月公告（SA-0183）称其他版本系列的修复版本“将陆续添加”（修订版 1.1，10月24日查阅）。
7月 SA-0144
5.2.3.14 已修复
9月 SA-0183
5.2.3.16 已修复
10月 SA-0199
5.2.3.18 已修复（升级到此版本）
Arista 披露的内容
- CVE
- CVE-2026-114625
- 类型
- SQL 注入 (CWE-89)
- 严重程度
- CVSS v4.0 9.4，v3.1 9.9（Arista 的评分，NVD 也列出）
- 影响
- 任何已认证用户都可以获得运营商权限，并冒充本地“超级用户运营商”。这使得仅限内部的功能可被远程访问，并可能危及编排器及其所管理数据的机密性、完整性和可用性
- 前提条件
- 能够通过网络访问 VCO 的 Web 界面，并拥有有效的已认证会话。最低角色为 Enterprise Read Only，即最低的内置租户角色。VCO 默认处于暴露状态，没有任何配置可以避免这种暴露
- 受影响
- VeloCloud Orchestrator On-Prem：5.2.3.18 之前的 5.2.x、6.1.3.10 之前的 6.1.x、6.4.2.12 之前的 6.4.x。7.0 系列未被列出；公告称未列出的版本不受影响。已终止支持的版本尚未评估
- 不受影响
- VeloCloud Edge、VeloCloud Gateway、基于 EOS 的 Arista 产品及其他
- 托管版
- 托管版 VCO（包括 Dedicated）受到影响，并且已经完成修补
- 利用情况
- 由 Arista 检测到，并“已知正被积极利用”
CISA 于10月23日将 CVE-2026-114625 加入 KEV，并将10月26日设为美国联邦机构的截止日期。KEV 条目将其标记为需要进行取证分流。已知被勒索软件利用的情况列为“Unknown”。
三个月内三个被利用的漏洞
2026年7月27日
Arista 在 SA-0144 中披露 CVE-2026-16812（操作系统命令注入，CVSS 10.0）。无需登录。由外部发现，已知被利用。CISA 当天将其加入 KEV（截止日期7月30日）。8月3日
SA-0144 修订，将托管版 VCO 加入受影响平台。9月22日
Arista 在 SA-0183 中披露 CVE-2026-93952（输入验证不当，CVSS v3.1 10.0，v4.0 9.5）。无需登录。适用于配置了从 VeloCloud Edge 到 VCO 的基于证书认证的情况。由外部发现，已知被利用。CISA 当天将其加入 KEV（截止日期9月25日）。10月22日
Arista 在 SA-0199 中披露 CVE-2026-114625（SQL 注入，CVSS v4.0 9.4），由 Arista 自行检测到，已知被利用。10月23日
CISA 将其加入 KEV（截止日期10月26日）。
7月和9月的漏洞无需登录，10月的漏洞需要登录。漏洞类型不同，但三份公告描述的结果相同：远程访问仅限内部的功能，可能影响 VCO 主机。三份公告都列出了共同的临时防护措施，例如将 Web 界面限制在管理网络内。
如何检查是否被入侵（来自公告）
修复前先保留证据
Arista 请怀疑已被入侵的运营方，在运营条件允许的情况下，于修复前保留 VCO 的 Web 访问日志、后端应用日志、系统日志、数据库日志以及相关的文件系统时间戳。先升级或重建，会销毁调查所需的内容。
| 检查位置 | 检查内容（来自公告） |
|---|---|
| Web 访问日志 | 异常的类 URL 路径部分、编码字符、对本地或内部服务的引用、高请求频率 |
| 来源地址 | 来自公告中所列攻击来源的连接（请查看 Arista 公告中的列表） |
| VCO 的出站流量 | 意外的出站连接。可考虑封锁正常运行不需要的出站端口 |
| 主机上 | 后门守护进程和 webshell |
| 管理员活动 | 你的团队中无人做过的近期变更 |
7月（SA-0144）和9月（SA-0183）的公告补充了更多内容：与管理员工作不符的敏感配置变更；意外的命令执行、文件创建、数据库导出或压缩包；以及对数据库内容、配置、设备清单、凭据、证书或密钥的意外访问。SA-0183 还列出了具体的文件和日志痕迹。如果发现这些痕迹，Arista 请你保留 VCO 的状态并联系 Arista TAC。
如果发现已被入侵
7月和9月的公告列出了修复后的步骤。它们警告说，被入侵的 VCO 也可能让攻击者访问 VeloCloud Edge 设备。
- 轮换凭据
- 检查管理员活动
- 验证被管设备（Edge）的状态
- 从可信来源恢复或替换编排器
本站观点：不要让管理平面暴露在互联网上
VCO 是管理每个分支机构 SD-WAN 设备配置的地方。Arista 自己的公告称，被入侵的 VCO 可能暴露其所管理的 Edge 设备。
三份公告都要求能够通过网络访问 VCO 的 Web 界面。其中7月和10月的两份称 VCO 默认处于暴露状态，且没有任何配置可以避免这种暴露。除非运营方在网络层限制访问，否则下一个漏洞仍将从同样暴露的位置开始。以三个月三个漏洞的频率来看，仅靠等待每次修复是不够的。
会让你暴露于下一个漏洞的做法
- 管理界面可从互联网任何地方访问
- 打完补丁后就不再做任何事
- 因为只读账户“什么都做不了”而不去管它们
- VCO 的出站流量不受限制
能限制下一个漏洞影响的做法
- 管理界面只能从管理网络或 VPN 访问
- 每次升级都保留日志，并检查是否有被入侵的迹象
- 定期检查账户，并禁用不用的账户
- VCO 的出站流量仅限于运营所需的目的地
VPN 和防火墙的管理界面上，同样的情况不断重复。关于如何发现并保护面向互联网的管理界面，请参阅VPN 设备的远程访问防御。关于为什么 KEV 列表中的漏洞应排在队列最前面，请参阅用 CVSS、EPSS 和 KEV 决定先修补什么。
仍然未知的事项
| 项目 | 状态 |
|---|---|
| 被积极利用 | 已确认（Arista、CISA） |
| 利用从何时开始，幕后是谁 | 未说明 |
| 受影响的组织数量 | 未说明 |
| 公开的利用代码 | 未说明（公告和 KEV） |
| 7.0 系列为何未被列出 | 未说明（公告称未列出的版本不受影响） |
| 9月漏洞的 6.1 和 7.0 修复版本 | 未列出（“将陆续添加”） |
| 日本公共机构的公告 | 截至10月24日，未发现 JPCERT/CC 或 IPA 的警报 |
目前没有公布使用 VCO 的组织名单，本站也不猜测具体的使用者。
来源
- Arista，“Security Advisory 0199”（CVE-2026-114625，2026年10月22日，修订版 1.0）— arista.com
- Arista，“Security Advisory 0183”（CVE-2026-93952，2026年9月22日，修订版 1.1）— arista.com
- Arista，“Security Advisory 0144”（CVE-2026-16812，2026年7月27日，修订版 1.2）— arista.com
- CISA，“Known Exploited Vulnerabilities Catalog”（CVE-2026-114625）— cisa.gov
- NVD，“CVE-2026-114625” — nvd.nist.gov
更新记录
2026-10-24：首次发布，依据 Arista 的三份公告（SA-0144、SA-0183、SA-0199）和 CISA 的 KEV 目录。
延伸阅读
- 保护面向互联网的设备：VPN 设备的远程访问防御
- 确定优先级：用 CVSS、EPSS 和 KEV 决定先修补什么
- 检查是否被入侵：如何检查服务器是否被黑
- 同一周的另一个紧急漏洞：PHP CVE-2026-109618 和 CVE-2026-109619
- 术语：什么是 SQL 注入？ / 什么是 CVSS？