Arista、VeloCloud Orchestratorの脆弱性悪用を確認―オンプレミス環境に更新を要請
読み取り専用のアカウントから管理権限を奪われる可能性があります。ホスト型サービスは修正済みで、GatewayとEdgeは対象外です。
提供元の公表日：2026-10-22 / 公開： / 更新： / 最終確認：
Codingholic 編集部 · 約2分
Arista Networksは2026年10月22日、VeloCloud Orchestrator（VCO）の脆弱性CVE-2026-114625について、実際の攻撃で悪用されていると公表しました。オンプレミスで運用する管理者に修正版への更新を求めています。深刻度はCVSS v3.1で9.9です。
原因はSQLインジェクションです。Web管理画面へアクセスできる認証済みの利用者が、オペレーター権限を取得し、最上位の管理者になりすませる可能性があります。最も権限の低いEnterprise Read Onlyロールでも攻撃が成立するとされています。ログインなしで侵入できる脆弱性とは区別が必要です。
対象は5.2系の5.2.3.18未満、6.1系の6.1.3.10未満、6.4系の6.4.2.12未満です。それぞれの系列で、この修正版以降への更新が必要です。サポート終了版は評価対象外です。専用環境を含むホスト型VCOはすでに修正され、VeloCloud GatewayとEdgeは影響を受けません。
更新までの緩和策として、Web管理画面へのアクセスを信頼できる管理用ネットワークに制限することが案内されています。不審な管理操作や外部通信も確認し、侵害が疑われる場合は、可能な範囲で対処前にログと時刻情報を保全してください。被害件数や攻撃の開始日は、今回の発表では示されていません。
出典と編集について
Arista Networks：Security Advisory 0199（2026年10月22日） ↗本記事は公表資料に基づく速報です。判明した範囲を記載しており、続報で内容が変わる場合があります。