最近の脆弱性 › CVE-2026-114625
Arista VeloCloud Orchestrator のSQLインジェクションの脆弱性（CVE-2026-114625）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
基本情報（データから表示）
| CVE番号 | CVE-2026-114625 |
|---|---|
| 製品 | Arista VeloCloud Orchestrator |
| 深刻度（CVSS） | 9.9 緊急CVSS v3.1 NVD に登録された、他の機関（開発元など）による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H |
| KEVへの追加日 | 2026-10-23 |
| 米国政府機関の対応期限 | 2026-10-26 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-89 |
何が起きた
Arista VeloCloud Orchestratorに見つかった弱点により、遠く離れた場所から一般利用者程度の権限を持つ攻撃者に悪用される可能性があり、実際に悪用が確認されています。この弱点を悪用されると、本来は内部だけで使う特別な機能へ勝手にアクセスされたり、システムに影響が出たりする恐れがあります。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
AristaのVeloCloud Orchestratorを使っている人や組織が影響を受けます。影響を受けるバージョンについては、このデータからは不明です。
何をすればいい
メーカーの案内に従って対策を行う必要があります。まずはメーカーの公式な案内を確認してください。また、古いバージョンが使われていないか確認し、必要に応じて更新や対策を行いましょう。
やることチェックリスト
- メーカーの公式な案内を確認する
- クラウドサービスに関するメーカーの指示に従う
- 利用中の製品がインターネットにどうつながっているか調べる
用語メモ
- 権限
- システムやデータを利用する際に行える操作の範囲のことです。
- バージョン
- ソフトウェアの版や世代を表す番号のことです。
元データ（英語・CISA KEV より）
Arista VeloCloud Orchestrator SQL Injection Vulnerability
概要
Arista VeloCloud Orchestrator on-prem contains a SQL injection vulnerability that may allow a remote attacker to access privileged internal functionality and impact the VCO host. Successful exploitation may compromise the confidentiality, integrity, and availability of the orchestrator and data managed by the orchestrator.
推奨対応
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.