Arista VeloCloud Orchestratorの脆弱性が攻撃で悪用される

閲覧専用のログインであっても、Arista VeloCloud Orchestratorの重大な脆弱性を突かれれば、攻撃者に特権オペレーターのアクセス権を与えてしまう可能性があります。Aristaは実際に悪用されていることを確認しており、影響を受けるシステムは、早急なパッチ適用と調査が必要です。

米サイバーセキュリティ・インフラセキュリティ庁（CISA）は10月23日、Aristaが攻撃を確認したことを受け、CVE-2026-114625を悪用が確認された脆弱性カタログ（KEV）に追加しました。このSQLインジェクションの脆弱性は、CVSS v3.1で9.9と評価されています。影響を受けるのは、ソフトウェア定義WAN（SD-WAN）の管理システムであるオンプレミス版のVeloCloud Orchestratorです。攻撃者にはポータルの有効な認証情報が必要ですが、最も権限の低いEnterprise Read Onlyロールでも、オペレーターレベルのアクセスにつながる恐れがあります。管理者は、単にアップグレードを予定するだけでなく、導入済みのバージョンを確認し、過去の活動も調査する必要があります。

閲覧専用アクセスが特権オペレーターの制御につながる恐れ

10月22日付のセキュリティアドバイザリで、Aristaは、ポータルにアクセスできる攻撃者がこの脆弱性を悪用すると、ローカルのスーパーユーザー権限のオペレーター特権を取得し、制限された内部機能にアクセスできる恐れがあると警告しました。

同社は実際に悪用されていることを認めています。ただし、攻撃者の特定や被害組織数の公表はなく、権限昇格後に何が起きたのかについても詳細を明らかにしていません。

Aristaによると、専用環境を含むホスト型VCOサービスはすでにパッチ適用済みです。VeloCloud EdgeとGatewayデバイスは直接の影響を受けません。一方、サポート終了となったOrchestratorのリリースについては、評価していません。

CISAが悪用確認済み脆弱性カタログに追加

CISAは10月23日、CVE-2026-114625を 悪用が確認された脆弱性カタログに追加し、実際の攻撃で悪用されている脆弱性と位置づけました。

The Hacker Newsによると、VeloCloud Orchestratorで悪用が確認された脆弱性が公表されたのは、7月以降で3件目です。先の2件はCVE-2026-16812とCVE-2026-93952でした。これらの脆弱性に対する修正を適用済みの組織でも、今回の問題には脆弱なままの可能性があります。

Aristaのセキュリティアドバイザリによると、影響を受けるオンプレミス環境は、バージョン5.2.3.18、6.1.3.10、6.4.2.12、またはそれぞれのリリースブランチ内でサポートされているそれ以降のバージョンにアップグレードする必要があります。各ブランチの以前のバージョンは、引き続き脆弱です。

影響を受けるシステムを運用する民間組織も、対策を優先すべきです。すでに悪用が確認されている以上、管理者は過去のセキュリティ更新で保護されていると思い込まず、導入済みのバージョンを確認する必要があります。 悪用が確認されているSharePointの脆弱性でも同様に、導入済みのビルドの確認と、侵害の可能性の調査が求められています。

セキュリティチームはパッチ適用にとどまらず調査が必要

企業やマネージドネットワークプロバイダーにとって、差し迫った懸念は、権限の低いアカウントが侵害されただけで、集中管理型のSD-WAN管理システムの管理機能が露出しかねない点です。 悪用が確認されたCisco SD-WAN Managerの脆弱性でも、管理者アクセスが露出しました。

Aviatrixは、こうしたアクセスがもたらす影響として、ラテラルムーブメント（横展開）やデータ窃取などを挙げています。ただし、これらは起こり得る攻撃シナリオであり、今回の攻撃で確認された結果ではありません。

セキュリティチームは、次の3点を優先して実施してください。

• 影響を受けるシステムの確認とパッチ適用。稼働中のOrchestratorのバージョンを、Aristaが公開した最新の修正版リリースと照合する。サポート対象外のバージョンを使用している場合は、Aristaに問い合わせる。
• 管理アクセスの制限。VCOのWebインターフェースへのアクセスを信頼できるネットワークに限定し、閲覧専用、パートナー、管理者の各アカウントに不要なアクセス権や不審な活動がないか確認する。
• 侵害の可能性の調査。異常なWebリクエスト、想定外の管理者設定の変更、外向きの通信などの不正アクセスの兆候を調べる。侵害が疑われる場合は、運用上可能であれば、対処の前に関連ログとファイルシステムのタイムスタンプを保全する。

Aristaは、攻撃の実行が確認されたIPアドレスとして74.82.197.86と38.54.50.151を挙げています。ただし、これらがセキュリティログに見当たらなくても、侵害の可能性は否定できません。

複数の拠点や顧客環境を管理している組織は、ネットワーク管理者と連携し、設定変更の確認、侵害された可能性のある認証情報の評価、さらなるインシデント対応の要否の判断を進める必要があります。認証情報の露出は、 SAP Cloud SDKの脆弱性でも懸念されています。この脆弱性では、接続先サービスへのアクセスに使う秘密情報が漏えいする恐れがあります。

セキュリティ責任者にとって、アップデートの適用は対応の一部にすぎません。アップデートで脆弱性は修正されますが、攻撃者がすでに特権アクセスを得ていたか、別の侵入経路を残していないかまでは確認できません。チームは過去の活動を見直し、不審な変更を調査したうえで、インシデントの収束を判断すべきです。

関連記事：攻撃を受けているのはVeloCloudだけではありません。ハッカーは Collaboraの重大な脆弱性を悪用し、Webシェルを使ってNextcloudサーバーを侵害しています。