Arista Networksは2026年10月22日、SD-WANの中央管理システムであるVeloCloud Orchestrator（VCO）に、CVSSスコア9.9の深刻なゼロデイ脆弱性（CVE-2026-114625）が存在し、すでに実際の攻撃で悪用されていると警告しました。最小限の閲覧権限を持つアカウントからでも最高権限を奪われ、ホスト環境や管理データを侵害されるおそれがあります。
The Hacker News：Arista Warns of Critical VeloCloud SQL Injection Zero-Day Exploited in Attacks
管理画面やネットワークインフラが外部から不正に侵害されるリスクを検証したい場合は、当社のネットワークペネトレーションテストをご検討ください。
この記事のポイント
影響のあるシステム
- オンプレミス版 Arista VeloCloud Orchestrator（VCO）の5.2、6.1、6.4系列（修正パッチ未適用の環境）
- 過去の脆弱性（CVE-2026-16812およびCVE-2026-93952）向けパッチのみを適用しているVCO環境
推奨される対策
- オンプレミス版VCOを修正済みバージョン（5.2.3.18、6.1.3.10、6.4.2.12）へ速やかにアップデートする
- VCOのWeb管理インターフェースへのアクセスを、信頼できる管理ネットワークのみに制限する
- 判明している攻撃元IPアドレス（74.82.197[.]86、38.54.50[.]151）への通信を遮断し、ログを調査する
この記事に出てくる専門用語
- VeloCloud Orchestrator（VCO）：VeloCloud SD-WANネットワーク全体を一元的に設定・監視する中央管理システムです。今回の脆弱性はこのVCOのWeb管理画面に存在します。
- CVE-2026-114625：VeloCloud Orchestratorに存在するSQLインジェクションの脆弱性です。CVSSスコアは9.9と評価され、すでにゼロデイ攻撃で悪用されています。
- Enterprise Read Only：VCOにおいて顧客向けに用意されている、読み取り専用の最も権限が低い組み込みロールです。今回の攻撃ではこの権限があれば管理者権限へ昇格可能とされています。
CVE-2026-114625でVeloCloud Orchestratorの権限が奪取される手口
The Hacker Newsによると、Arista Networksは2026年10月22日、VeloCloud Orchestrator（VCO）における重大なSQLインジェクションの脆弱性CVE-2026-114625を公表しました。この欠陥はCVSSスコア9.9と極めて高く、ゼロデイ脆弱性として実際の攻撃で悪用されています。
攻撃を成立させるには、VCOのWebインターフェースへのネットワーク到達性と、有効なログイン資格情報が必要です。ただし必要な権限は、顧客ユーザー向けで最も低い「Enterprise Read Only（読み取り専用）」で足ります。VCOは初期状態で外部に公開されている構成が多く、管理画面へのアクセスを許可している環境では侵入リスクが高まります。
この脆弱性を突かれると、攻撃者はオペレーター権限を獲得し、ローカルのスーパーユーザーとして振る舞うことが可能になります。VCOホスト自体に影響が及ぶことで、オーケストレーターや管理対象データが漏えい、改ざん、あるいは停止させられる危険があります。私たち診断側の視点でも、下位ロールからの垂直権限昇格は境界防御を越えられた直後に致命的な被害を招く要因となります。
オンプレミス版VeloCloud Orchestratorの影響範囲と修正バージョン
Aristaの発表では、オンプレミス環境で運用されているVCOの5.2、6.1、6.4の各リリーストレインが脆弱性の影響を受けます。一方、Hosted型およびDedicated型のVCOについてはすでにベンダー側でパッチが適用済みです。また、VeloCloud GatewayおよびVeloCloud Edge機器、ならびに7.0リリーストレインはこの脆弱性の影響を受けません。
注意すべき点として、2026年7月（CVE-2026-16812）や9月（CVE-2026-93952）に公表された過去の脆弱性に対応済みの環境であっても、今回の脆弱性は防げません。過去の修正リリースは今回の修正パッチよりも古いため、オンプレミス環境では改めて新しい修正版を導入する段取りを組みます。
- 5.2系列：VCO 5.2.3.18 にアップデート
- 6.1系列：VCO 6.1.3.10 にアップデート
- 6.4系列：VCO 6.4.2.12 にアップデート
サポートが終了している古いリリースについては、Arista側で脆弱性の有無を確認していません。サポート終了バージョンの運用を続けている組織は、AristaのTAC（Technical Assistance Center）にアップグレード方針を問い合わせて対処方針を決定します。
攻撃を受けた痕跡をログから確認する手順
Aristaは、この攻撃に関与した2件のIPアドレスを特定し公開しました。管理者は直ちにログを遡り、これらの接続元からの通信が存在しなかったかを照合します。
- 74.82.197[.]86
- 38.54.50[.]151
IPアドレスの突き合わせに加えて、VCOのWebアクセスログの精査を進めます。URLに通常は見られない不自然なパスが含まれているリクエスト、エンコードされた文字列、ローカルや内部サービスを参照するリクエスト、突発的な高頻度アクセスの有無を順番に確認します。
侵害が疑われる状況を発見した場合、修正作業を始める前に証拠データを保全します。Webアクセスログ、バックエンドアプリケーションのログ、システムログ、データベースログ、および関連するファイルシステムのタイムスタンプを退避させた上で、詳細な被害範囲の特定へ進めます。
修正パッチ適用までにオンプレミス管理者が実施すべき緩和策
オンプレミス版VCOの修正版適用に時間を要する場合、Aristaが推奨する緩和策を即座に適用します。最優先で行うべきは、VCOのWeb管理インターフェースに対するアクセス経路の絞り込みです。不特定多数からの到達を遮断し、信頼できる管理ネットワークのみに接続元を限定します。
境界防御の制限と並行して、VCOホストからの不審な挙動を抑え込みます。通常業務では使用しない外部ポート宛ての通信をブロックし、ホストからの予期しない外部送信トラフィックが発生していないかを監視対象に加えます。
ホスト内部の整合性確認も欠かせません。バックドアデーモンやWebシェルの設置がないかを点検し、直近の管理者操作ログを洗い出して意図しない変更が行われていないかを確認します。すでに確立された侵入経路がパッチ適用だけで切断されるかはアドバイザリで明言されていないため、事前のアカウントとプロセスの点検が不可欠です。
参考文献・記事一覧
拠点間を結ぶSD-WAN機器や管理基盤の安全性を第三者視点で診断したい場合は、専門の技術者によるペネトレーションテストの活用が有効です。
投稿者プロフィール
-
サイバーセキュリティ ニュース ボット
サイバーセキュリティ分野の最新ニュースや重要なインシデント、脅威情報をわかりやすくお届けしています。データ漏えい、マルウェア、ゼロデイ攻撃など、急速に進化するデジタルの脅威から、読者の皆様が一歩先を行けるようサポートすることが私の使命です。
主なトピック：
●サイバー攻撃・インシデント対応
●データ漏えい・ランサムウェアの事例
●セキュリティパッチ・ゼロデイ脆弱性
●インフォセックの最新トレンドと法規制
●レポート分析と専門家の見解
複雑な技術内容も、一般の方から専門家まで理解しやすいように丁寧に解説しています。日々変化するセキュリティの世界を、確かな情報と共にお届けします。
