情報取得日: 2026/10/23・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2026-114625 |
|---|---|
| 製品 | Arista / VeloCloud Orchestrator（VCO）オンプレミス版 |
| CVSS | 9.9（Critical） CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H |
| 種別 (CWE) | CWE-89 SQL インジェクション |
| 登録／公開日 | 2026/10/23 |
| KEV 期限 | 2026/10/26 まで（米国連邦機関向け目安） |
| 推奨対応 | ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。緩和策が利用できない場合はクラウドサービス向けの BOD 26-04 指針に従うか、製品の使用を中止する。各資産のインターネット露出の評価は利用者側の責任である。 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2026-114625 |
**SD-WAN（旧 VMware VeloCloud）の管理サーバー VeloCloud Orchestrator（VCO）のオンプレミス版に、SQL インジェクションの欠陥がある。** Arista の Security Advisory 0199（2026年10月22日公開）と NVD によれば、認証済みの任意のユーザーが運用者（オペレーター）権限を得て、ローカルの「スーパーユーザー運用者」になりすませる。本来は内部専用で外から使えないはずの機能にも手が届き、オーケストレーターとそれが管理するデータの機密性・完全性・可用性が損なわれうる。 **評価値と悪用の状況。** Arista の採点は CVSS 3.1 で **9.9 Critical**（AV:N/AC:L/PR:L/S:C）、CVSS 4.0 で 9.4。Arista は**悪用を確認済み**としており、CISA は2026年10月23日に KEV へ収載した（是正期限 **2026年10月26日**）。ランサムウェアでの利用は「不明」。NVD の状態は Analyzed。 **ホスト型（Dedicated を含む）の VCO も影響を受けたが、Arista 側で修正済み**とされている。利用者が作業する必要があるのはオンプレミス版である。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | パッチあり（アプリ更新） |
EC2 などに自前で置いたオンプレミス版 VCO を 5.2.3.18 / 6.1.3.10 / 6.4.2.12 以上へ更新し、管理画面への到達をセキュリティグループで管理用ネットワークに絞る。
AWS から本 CVE 個別の速報は確認できていない（2026-10-24 時点）。AWS のマネージドサービスではなく、利用者が導入した製品の更新である。
参照リンク
|
| GCP | パッチあり（アプリ更新） |
Compute Engine 上に自前で置いた VCO を修正版へ更新し、ファイアウォールルールで管理画面への到達を絞る。
GCP から本 CVE 個別の速報は確認できていない（2026-10-24 時点）。
参照リンク
|
| Azure | パッチあり（アプリ更新） |
Azure VM 上に自前で置いた VCO を修正版へ更新し、NSG で管理画面への到達を絞る。
Azure から本 CVE 個別の速報は確認できていない（2026-10-24 時点）。
参照リンク
|
| Linux | パッチあり（アプリ更新） |
VCO はベンダー提供のアプライアンス／イメージなので、Arista の修正版へ更新する。
Ubuntu / Red Hat / Debian の公式リポジトリの修正対象ではない。
参照リンク
|
**修正版へ上げる。** Arista の Security Advisory 0199 の修正版は次のとおり。 - **5.2 系**: 5.2.3.18 以降 - **6.1 系**: 6.1.3.10 以降 - **6.4 系**: 6.4.2.12 以降 サポートが終わった系列は評価されていないので、該当する場合は Arista TAC に移行先を確認する。 **上げるまでの間の緩和策（Arista 記載）。** VCO の Web 管理画面への到達を信頼できる管理用ネットワークに絞る。Arista が挙げた攻撃元 IP（74.82.197.86 / 38.54.50.151）からの通信、VCO ホストからの想定外の外向き通信を監視し、不要な外向きポートを閉じる。 **侵害の確認。** 悪用が確認されているため、更新と合わせてバックドアのデーモンや Web シェルが置かれていないか、最近の管理者操作に覚えのないものが無いかを確認する（Arista の推奨事項）。 **完了条件**は、（1）全てのオンプレミス VCO が上記の修正版以上であること、（2）侵害の痕跡を確認したこと、の2点である。
Critical（CVSS 9.9）に分類されるArista VeloCloud Orchestrator（VCO）オンプレミス版の脆弱性です。**SD-WAN（旧 VMware VeloCloud）の管理サーバー VeloCloud Orchestrator（VCO）のオンプレミス版に、SQL インジェクションの欠陥がある。** Arista の Security Advisory 0199（2026年10月22日公開）と NVD によれば、認証済みの任意のユーザーが運用者（オペレーター）権限を得て、ローカルの「スーパーユーザー運用者」になりすませる。本来は内部専用で外から使えないはずの機能にも手が届き、オーケストレーターとそれが管理するデータの機密性・完全性・可用性が損なわれうる。 **評価値と悪用の状況。** Arista の採点は CVSS 3.1 で **9.9 Critical**（AV:N/AC:L/PR:L/S:C）、CVSS 4.0 で 9.4。Arista は**悪用を確認済み**としており、CISA は2026年10月23日に KEV へ収載した（是正期限 **2026年10月26日**）。ランサムウェアでの利用は「不明」。NVD の状態は Analyzed。 **ホスト型（Dedicated を含む）の VCO も影響を受けたが、Arista 側で修正済み**とされている。利用者が作業する必要があるのはオンプレミス版である。
**修正版へ上げる。** Arista の Security Advisory 0199 の修正版は次のとおり。 - **5.2 系**: 5.2.3.18 以降 - **6.1 系**: 6.1.3.10 以降 - **6.4 系**: 6.4.2.12 以降 サポートが終わった系列は評価されていないので、該当する場合は Arista TAC に移行先を確認する。 **上げるまでの間の緩和策（Arista 記載）。** VCO の Web 管理画面への到達を信頼できる管理用ネットワークに絞る。Arista が挙げた攻撃元 IP（74.82.197.86 / 38.54.50.151）からの通信、VCO ホストからの想定外の外向き通信を監視し、不要な外向きポートを閉じる。 **侵害の確認。** 悪用が確認されているため、更新と合わせてバックドアのデーモンや Web シェルが置かれていないか、最近の管理者操作に覚えのないものが無いかを確認する（Arista の推奨事項）。 **完了条件**は、（1）全てのオンプレミス VCO が上記の修正版以上であること、（2）侵害の痕跡を確認したこと、の2点である。
Arista VeloCloud Orchestrator（VCO）オンプレミス版 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-114625）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/10/26 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。緩和策が利用できない場合はクラウドサービス向けの BOD 26-04 指針に従うか、製品の使用を中止する。各資産のインターネット露出の評価は利用者側の責任である。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください。