適用對象:在自有基礎架構上運行 Arista SD-WAN 管理平台 VeloCloud Orchestrator(VCO)的網路與資安團隊。本頁依據 Arista 的安全公告與 CISA 的公開資料撰寫,不涉及攻擊的運作方式。
持續發展中:有新資訊時本頁將更新
截至 2026 年 10 月 24 日 03:45 UTC尚不清楚
- 利用從何時開始,以及幕後是誰
- 7.0 系列為何未列出,以及 7 月與 9 月漏洞的 7.0 修正版本
- 9 月漏洞(CVE-2026-93952)在 6.1 系列的修正版本
- 日本公共機構(JPCERT/CC、IPA)的公告
Arista 於 10 月 22 日發布安全公告 0199(修訂版 1.0),CISA 於 10 月 23 日將該漏洞加入 KEV。兩者都未說明利用從何時開始,也未說明幕後是誰。公告與 KEV 條目均未提及公開的攻擊程式碼。公告修訂後,本頁將隨之更新。
今天該做什麼(地端 VCO)
確認版本並選定目標版本
確認你的 VCO 版本,並依下表選擇要升級到的版本。此漏洞的修正版本(5.2.3.18、6.1.3.10、6.4.2.12)比 7 月與 9 月的修正版本更新。即使已套用那兩次修正,仍需再次升級。
升級前保存日誌與檔案時間戳記
若懷疑遭入侵,Arista 請營運人員在修復前保存 VCO 網頁存取日誌、後端應用程式日誌、系統日誌、資料庫日誌,以及相關的檔案系統時間戳記。請在升級或重建覆蓋這些資料之前,先複製到其他位置。
升級到修正版本
升級到所屬系列的最新修正版本。本公告指出未列出的版本不受影響,而 7.0 未列出。由於 7 月與 9 月的漏洞也沒有列出 7.0 的修正版本,請向 Arista TAC(Technical Assistance Center)確認——這是本站的建議,並非公告內容。已終止支援的版本尚未評估。
限制誰能連到管理介面
Arista 表示 VCO 預設即對外暴露,且沒有任何設定可以避免這種暴露。請利用 VCO 前方的防火牆,將網頁介面的存取限制在受信任的管理網路。收緊之前,請先確認營運上依賴哪些連線,例如 VeloCloud Edge 裝置連到 VCO 的連線。
檢查是否有遭入侵的跡象
請依下一節的檢查項目逐一確認。Arista 未說明利用從何時開始,因此請盡量往回查到你保留的日誌所能涵蓋的最早時間。公告也列出攻擊中出現的來源位址。請開啟 Arista 的公告,將該清單與你自己的日誌比對。
檢視使用者帳號
此漏洞可用最低的內建租戶角色 Enterprise Read Only 來利用。請停用不用的帳號、離職人員或外包人員的帳號,以及共用帳號,並檢視保留帳號的密碼。
各版本系列的修正版本(三份公告並列)
每份公告各自列出修正版本。為了讓每個系列選定一個目標版本,本站將 Arista 的三份公告並列比較。
| 版本系列 | 7 月:CVE-2026-16812(SA-0144) | 9 月:CVE-2026-93952(SA-0183) | 10 月:CVE-2026-114625(SA-0199) | 目標 |
|---|---|---|---|---|
| 5.2 | 5.2.3.14 及以後已修正 | 5.2.3.16 及以後已修正 | 5.2.3.18 及以後已修正 | 5.2.3.18 或更新 |
| 6.1 | 6.1.3.4 及以後已修正 | 受影響:6.1.3.7 及以下。未列出 6.1 的修正版本 | 6.1.3.10 及以後已修正 | 6.1.3.10 或更新(9 月漏洞請向 Arista TAC 確認) |
| 6.4 | 6.4.2.4 及以後已修正 | 6.4.2.8 及以後已修正 | 6.4.2.12 及以後已修正 | 6.4.2.12 或更新 |
| 7.0 | 受影響:低於 7.0.0.1。未列出 7.0 的修正版本 | 受影響:7.0.0.2 及以下。未列出 7.0 的修正版本 | 未列出(公告指出未列出的版本不受影響) | 請向 Arista TAC 確認(7 月與 9 月均未列出 7.0 的修正版本) |
| 終止支援 | 未評估 | 請聯絡 TAC | 未評估 | 請向 Arista TAC 確認 |
9 月公告(SA-0183)指出,其他系列的修正版本「將陸續加入」(修訂版 1.1,於 10 月 24 日確認)。
7 月 SA-0144
5.2.3.14 已修正
9 月 SA-0183
5.2.3.16 已修正
10 月 SA-0199
5.2.3.18 已修正(請升級到此版本)
Arista 揭露的內容
- CVE
- CVE-2026-114625
- 類型
- SQL 注入(CWE-89)
- 嚴重性
- CVSS v4.0 9.4,v3.1 9.9(Arista 的評分,NVD 亦列出)
- 影響
- 任何通過驗證的使用者都可取得操作員權限,並冒充本地「超級使用者操作員」。這可遠端存取僅限內部使用的功能,並可能危及協調器及其所管理資料的機密性、完整性與可用性
- 條件
- 需能透過網路連到 VCO 網頁介面,並具備有效的已驗證工作階段。最低角色為 Enterprise Read Only,即最低的內建租戶角色。VCO 預設即對外暴露,且沒有任何設定可以避免這種暴露
- 受影響
- VeloCloud Orchestrator On-Prem:5.2.x 低於 5.2.3.18、6.1.x 低於 6.1.3.10、6.4.x 低於 6.4.2.12。7.0 系列未列出;公告指出未列出的版本不受影響。已終止支援的版本尚未評估
- 不受影響
- VeloCloud Edge、VeloCloud Gateway、以 EOS 為基礎的 Arista 產品及其他
- 託管版
- 託管版 VCO(含 Dedicated)受到影響,且已完成修補
- 利用情形
- 由 Arista 偵測到,且「已知正遭活躍利用」
CISA 於 10 月 23 日將 CVE-2026-114625 加入 KEV,並將美國聯邦機構的期限訂為 10 月 26 日。KEV 條目標示此漏洞需要鑑識分流。是否已知被勒索軟體利用,列為「Unknown」。
三個月內三個遭利用的漏洞
2026 年 7 月 27 日
Arista 在 SA-0144 中揭露 CVE-2026-16812(作業系統命令注入,CVSS 10.0)。不需登入。由外部發現,且已知遭利用。CISA 當天將其加入 KEV(期限 7 月 30 日)。8 月 3 日
SA-0144 修訂,將託管版 VCO 加入受影響平台。9 月 22 日
Arista 在 SA-0183 中揭露 CVE-2026-93952(輸入驗證不當,CVSS v3.1 10.0,v4.0 9.5)。不需登入。適用於已設定 VeloCloud Edge 到 VCO 憑證式驗證的情況。由外部發現,且已知遭利用。CISA 當天將其加入 KEV(期限 9 月 25 日)。10 月 22 日
Arista 在 SA-0199 中揭露 CVE-2026-114625(SQL 注入,CVSS v4.0 9.4),由 Arista 自行偵測到,且已知遭利用。10 月 23 日
CISA 將其加入 KEV(期限 10 月 26 日)。
7 月與 9 月的漏洞不需登入;10 月的漏洞需要登入。漏洞類型各不相同,但三份公告描述的結果相同:可遠端存取僅限內部使用的功能,進而影響 VCO 主機。三份公告也都列出共同的暫行控制措施,例如將網頁介面限制在管理網路。
如何檢查是否遭入侵(依據公告)
修復前先保留證據
Arista 請懷疑遭入侵的營運人員,在營運上可行的情況下,於修復前保存 VCO 網頁存取日誌、後端應用程式日誌、系統日誌、資料庫日誌,以及相關的檔案系統時間戳記。先升級或重建,會毀掉調查所需的資料。
| 檢查位置 | 檢查內容(依據公告) |
|---|---|
| 網頁存取日誌 | 異常的類 URL 路徑片段、編碼字元、對本機或內部服務的引用、高頻率請求 |
| 來源位址 | 來自公告所列攻擊來源的連線(請對照 Arista 公告中的清單) |
| VCO 的對外流量 | 非預期的對外連線。可考慮封鎖正常運作不需要的對外連接埠 |
| 主機上 | 後門常駐程式與 webshell |
| 管理員活動 | 團隊中沒有人做過的近期變更 |
7 月(SA-0144)與 9 月(SA-0183)的公告另有補充:與管理員工作不符的敏感設定變更;非預期的命令執行、檔案建立、資料庫匯出或封存檔;以及對資料庫內容、設定、裝置清單、認證資訊(帳密)、憑證或金鑰的非預期存取。SA-0183 還列出特定的檔案與日誌痕跡。若發現這些跡象,Arista 請你保存 VCO 的狀態並聯絡 Arista TAC。
若發現遭入侵
7 月與 9 月的公告列出修復後的步驟,並警告遭入侵的 VCO 也可能讓攻擊者進入 VeloCloud Edge 裝置。
- 更換認證資訊(帳號密碼等)
- 檢視管理員活動
- 驗證所管理裝置(Edge)的狀態
- 從受信任的來源還原或更換協調器
本站觀點:讓管理平面遠離網際網路
VCO 是管理各分支據點 SD-WAN 裝置設定的地方。Arista 自己的公告指出,遭入侵的 VCO 可能讓其所管理的 Edge 裝置暴露在風險中。
三份公告都要求能透過網路連到 VCO 網頁介面。其中 7 月與 10 月兩份指出,VCO 預設即對外暴露,且沒有任何設定可以避免這種暴露。除非營運人員在網路層限制存取,否則下一個漏洞仍會從同樣暴露的位置開始。以三個月三個的頻率來看,光是等待每次修正還不夠。
讓你暴露於下一個漏洞的做法
- 管理介面可從網際網路上任何地方連入
- 套用修補後就停止後續作業
- 因為唯讀帳號「什麼都做不了」而置之不理
- VCO 的對外流量不受限制
可限制下一個漏洞影響的做法
- 管理介面只能從管理網路或 VPN 連入
- 每次升級都保存日誌,並檢查是否有遭入侵的跡象
- 定期檢視帳號並停用不用的帳號
- VCO 的對外流量僅限於營運所需的目的地
VPN 與防火牆的管理介面一再出現同樣的模式。關於如何找出並保護對外開放的管理介面,請見 VPN 設備的遠端存取防護。關於為何 KEV 列入項目要優先處理,請見 以 CVSS、EPSS 與 KEV 決定修補優先順序。
仍不清楚的事項
| 項目 | 狀態 |
|---|---|
| 活躍利用 | 已確認(Arista、CISA) |
| 利用從何時開始,以及幕後是誰 | 未說明 |
| 受影響組織的數量 | 未說明 |
| 公開的攻擊程式碼 | 未說明(公告與 KEV) |
| 7.0 系列為何未列出 | 未說明(公告指出未列出的版本不受影響) |
| 9 月漏洞的 6.1 與 7.0 修正版本 | 未列出(「將陸續加入」) |
| 日本公共機構的公告 | 截至 10 月 24 日,未發現 JPCERT/CC 或 IPA 的警示 |
目前沒有公開使用 VCO 的組織清單,本站也不臆測特定使用者。
資料來源
- Arista,「Security Advisory 0199」(CVE-2026-114625,2026 年 10 月 22 日,修訂版 1.0)— arista.com
- Arista,「Security Advisory 0183」(CVE-2026-93952,2026 年 9 月 22 日,修訂版 1.1)— arista.com
- Arista,「Security Advisory 0144」(CVE-2026-16812,2026 年 7 月 27 日,修訂版 1.2)— arista.com
- CISA,「Known Exploited Vulnerabilities Catalog」(CVE-2026-114625)— cisa.gov
- NVD,「CVE-2026-114625」— nvd.nist.gov
更新紀錄
2026-10-24:首次發布,依據 Arista 的三份公告(SA-0144、SA-0183、SA-0199)與 CISA 的 KEV 目錄。
延伸閱讀
- 保護對外開放的設備:VPN 設備的遠端存取防護
- 排定優先順序:以 CVSS、EPSS 與 KEV 決定修補優先順序
- 檢查是否遭入侵:如何檢查伺服器是否遭駭
- 同一週的另一個緊急漏洞:PHP CVE-2026-109618 與 CVE-2026-109619
- 名詞解釋:什麼是 SQL 注入? / 什麼是 CVSS?