ネットワークソリューションを手がけるArista Networksは木曜日、集中管理ツール「VeloCloud Orchestrator(VCO)」で悪用が確認されているゼロデイ脆弱性に対するパッチを公開しました。
深刻度「クリティカル」のこのセキュリティ上の欠陥は、CVE-2026-114625(CVSSスコア9.9)として追跡されています。リモートから悪用可能なSQLインジェクションとされています。
Aristaはセキュリティアドバイザリで、次のように説明しています。「オンプレミス版のVeloCloud Orchestrator(VCO)にはセキュリティ上の問題があります。この問題により、リモートの攻撃者が特権が必要な内部機能にアクセスし、VCOホストに影響を及ぼすおそれがあります」
悪用に成功すると、VCO本体と、VCOが管理するデータの機密性、完全性、可用性に影響が及ぶ可能性があります。
同社は次のように述べています。「影響を受けるシステムでは、認証済みのユーザーであれば誰でもオペレーター権限を取得し、ローカルの『スーパーユーザーオペレーター』になりすますことができます。これには、内部利用のみを想定し、リモートからのアクセスを意図していない機能へのアクセスも含まれます」
影響を受けるのは、バージョン5.2.3.18、6.1.3.10、6.4.2.12より前のすべてのVCOリリースです。AristaはホスティB型のVCO環境にはすでにパッチを適用済みです。オンプレミス環境のユーザーには、できるだけ早く更新するよう呼びかけています。
同社は「この問題はArista自身が検出したもので、実際に悪用されていることが確認されています」としています。
Aristaによると、VCOはデフォルトで外部に公開される構成です。攻撃者に必要なのは、VCOのWebインターフェースへのアクセスと、有効な認証済みセッションです。権限は、組み込みのテナントロールのうち最も低いもので足ります。
同社は「この露出を防げる設定はありません」と説明しています。
攻撃は、2つのIPアドレス「74.82.197.86」と「38.54.50.151」から行われていたことが確認されています。管理者はこれらをブロックし、ログに痕跡がないか確認してください。あわせて、リクエスト頻度が高い通信や、URLのようなパス要素、エンコードされた文字、ローカルサービスや内部サービスへの参照を含む不審なリクエストも調査する必要があります。
Aristaは「侵害が疑われる場合、運用上可能であれば、対処に着手する前にVCOのWebアクセスログ、バックエンドのアプリケーションログ、システムログ、データベースログ、関連するファイルシステムのタイムスタンプを保全してください」と呼びかけています。
推奨される対処は、修正済みのVCOリリースへの更新です。修正を適用するまでの間、管理者はVCOインターフェースへのアクセスを制限してください。さらに、最近の管理者の操作履歴を確認し、不審なアクセスを監視するとともに、アウトバウンドポートをブロックし、バックドアのデーモンやWebシェルがないか監視することも求められます。
CVE-2026-114625は、AristaがVCOで修正した、悪用済みのゼロデイ脆弱性としては4カ月で3件目です。これまでに、7月のCVE-2026-16812と、9月のCVE-2026-93952がありました。
翻訳元: https://www.securityweek.com/attackers-exploit-third-velocloud-orchestrator-zero-day-in-four-months/
