最近の脆弱性 › CVE-2026-114625
Arista VeloCloud Orchestrator のSQLインジェクションの脆弱性（CVE-2026-114625）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
基本情報（データから表示）
| CVE番号 | CVE-2026-114625 |
|---|---|
| 製品 | Arista VeloCloud Orchestrator |
| 深刻度（CVSS） | 9.9 緊急CVSS v3.1 NVD に登録された、他の機関（開発元など）による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H |
| KEVへの追加日 | 2026-10-23 |
| 米国政府機関の対応期限 | 2026-10-26 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-89 |
何が起きた
Arista VeloCloud Orchestrator（VCO）のオンプレミス版に弱点が見つかり、実際に悪用が確認されています。ログインできる利用者なら誰でも、管理する側（運用者）の強い権限を得て、「superuser operator」になりすませるおそれがあります。その結果、本来は内部だけで使う機能にアクセスされ、VCO のサーバーやそこで管理しているデータに影響が出る恐れがあります。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
自社のサーバーに設置して使うオンプレミス版の VeloCloud Orchestrator が対象です。5.2.x は 5.2.3.18 より前、6.1.x は 6.1.3.10 より前、6.4.x は 6.4.2.12 より前のバージョンが影響を受けます。Arista が提供するホスト型（Dedicated を含む）は、すでに修正済みです。
何をすればいい
修正版（5.2.3.18、6.1.3.10、6.4.2.12 以降）へ早めに更新してください。すぐに更新できない間は、管理画面に接続できるのを信頼できる管理用のネットワークだけに絞りましょう。最近の管理者の操作に覚えのない変更がないかも確かめてください。詳しくは公式の案内を確認してください。
やることチェックリスト
- 5.2.3.18、6.1.3.10、6.4.2.12以降に更新する
- 管理画面に入れるネットワークを絞る
- 管理者の操作に覚えのない変更がないか確かめる
用語メモ
- オンプレミス
- 製品を自社のサーバーに設置して使う形のことです。
- 権限
- システムやデータを利用する際に行える操作の範囲のことです。
- バージョン
- ソフトウェアの版や世代を表す番号のことです。
元データ（英語・CISA KEV より）
Arista VeloCloud Orchestrator SQL Injection Vulnerability
概要
Arista VeloCloud Orchestrator on-prem contains a SQL injection vulnerability that may allow a remote attacker to access privileged internal functionality and impact the VCO host. Successful exploitation may compromise the confidentiality, integrity, and availability of the orchestrator and data managed by the orchestrator.
推奨対応
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.