読み取り専用のログインであっても、Arista VeloCloud Orchestratorの重大な脆弱性を通じて、攻撃者に特権オペレーターアクセスを与える可能性があります。Aristaは現在も悪用が続いていることを確認しており、影響を受けるシステムは直ちにパッチ適用と調査を行うべき優先対象となっています。
Aristaが攻撃を確認したことを受け、CISAは10月23日にCVE-2026-114625を既知の悪用された脆弱性（KEV）カタログに追加しました。CVSS v3.1で9.9と評価されたこのSQLインジェクションの脆弱性は、ソフトウェア定義広域ネットワーク（SD-WAN）の管理システムであるオンプレミス版VeloCloud Orchestratorに影響します。攻撃者には有効なポータル認証情報が必要ですが、最も権限の低いEnterprise Read Onlyロールからでもオペレーター権限レベルのアクセスにつながる可能性があります。管理者は、インストールされているバージョンを確認し、単にアップグレードを予定するだけでなく、過去の活動も調査する必要があります。
読み取り専用アクセスが特権オペレーター制御につながる可能性
10月22日の勧告で、Aristaは、ポータルにアクセスできる攻撃者がこの脆弱性を悪用し、ローカルのスーパーユーザー・オペレーター権限を取得して、制限された内部機能にアクセスできると警告しました。
同社は現在も悪用が続いていることを確認しましたが、攻撃者を特定したか、影響を受けた組織数、権限昇格後に何が起きたのかについては明らかにしていません。
Aristaは、専用環境を含むホスト型VCOサービスにはすでにパッチを適用したと説明しています。VeloCloud EdgeおよびGatewayデバイスは直接の影響を受けませんが、サポート終了済みのOrchestratorリリースについては評価されていません。
CISAがこの脆弱性を悪用済み脆弱性カタログに追加
CISAは10月23日、CVE-2026-114625を 既知の悪用された脆弱性カタログに追加し、実際の攻撃で悪用されている脆弱性と位置付けました。
The Hacker Newsは、今回が7月以降に公開された、実際に悪用されているVeloCloud Orchestratorの脆弱性としては3件目だと報じました。CVE-2026-16812およびCVE-2026-93952に続くものです。これらの以前の脆弱性に対する修正を適用した組織も、今回の最新の問題に対しては依然として脆弱な可能性があります。
Aristaのセキュリティ勧告によると、影響を受けるオンプレミス環境は、それぞれのリリースブランチでバージョン5.2.3.18、6.1.3.10、6.4.2.12、またはそれ以降のサポート対象バージョンにアップグレードする必要があります。各ブランチのこれより前のバージョンは、引き続き脆弱です。
影響を受けるシステムを稼働させている民間組織も、対策を優先すべきです。すでに悪用が確認されているため、管理者は過去のセキュリティ更新で保護されていると決めつけず、インストールされているバージョンを確認する必要があります。別の 実際に悪用されているSharePointの脆弱性も同様に、インストール済みビルドの確認と、侵害の可能性の調査が必要であることを示しています。
セキュリティチームはパッチ適用の先まで調査する必要がある
企業やマネージドネットワークプロバイダーにとって直ちに懸念されるのは、侵害された低権限アカウントによって、集中管理型SD-WAN管理システム内の管理機能が露出する可能性です。別の 実際に悪用されているCisco SD-WAN Managerの脆弱性でも、管理者アクセスが露出しました。
Aviatrixは、このようなアクセスによる潜在的な影響として、横方向への移動やデータ窃取を挙げています。ただし、これらは現在の悪用キャンペーンで確認された結果ではなく、起こり得る攻撃シナリオです。
セキュリティチームは、次の3つの対応を優先すべきです。
- 影響を受けるシステムを確認し、パッチを適用する。稼働中のOrchestratorのバージョンを、Aristaの最新の修正版リリースと照合します。サポート対象外のバージョンを使用している組織は、Aristaに指示を仰いでください。
- 管理者アクセスを制限する。VCOのWebインターフェースへのアクセスを信頼できるネットワークに限定し、読み取り専用、パートナー、管理者の各アカウントについて、不要なアクセス権や不審な活動がないか確認します。
- 侵害の可能性を調査する。通常とは異なるWebリクエスト、予期しない管理者変更、外向きの接続、その他の不正アクセスの兆候を調べます。侵害が疑われる場合は、運用上可能であれば、対策を行う前に関連するログとファイルシステムのタイムスタンプを保全してください。
Aristaは、攻撃を実行していることが確認されたIPアドレスとして74.82.197.86と38.54.50.151を特定しました。ただし、セキュリティログにこれらのアドレスが記録されていないからといって、侵害の可能性を排除することはできません。
複数の拠点や顧客環境を管理する組織は、ネットワーク管理者と連携して設定変更を確認し、侵害された可能性のある認証情報を評価し、さらなるインシデント対応が必要かどうかを判断すべきです。認証情報の露出は、別の SAP Cloud SDKの脆弱性でも懸念されており、接続されたサービスへのアクセスに使われるシークレットが露出する可能性があります。
セキュリティ責任者にとって、アップデートのインストールは対応の一部にすぎません。脆弱性には対処できますが、攻撃者が以前に特権アクセスを取得したか、システムへの別の侵入口を残したかどうかまでは確認できません。インシデントの解決を宣言する前に、チームは過去の活動を確認し、不審な変更を調査すべきです。
関連記事：VeloCloudだけが現在攻撃を受けているプラットフォームではありません。ハッカーはさらに 重大なCollaboraの脆弱性を悪用し、Webシェルを使ってNextcloudサーバーを侵害しています。