VeloCloud脆弱性CVE-2026-114625——悪用確認済み、オンプレ版の対応

CVE-2026-114625とは――VeloCloud OrchestratorのSQLインジェクション欠陥の概要

2026年10月22日、Arista Networksは自社のSD-WANオーケストレーター製品「VeloCloud Orchestrator（VCO）」に深刻な脆弱性が存在することを公開した（CVE公開日：2026年10月22日、最終更新：2026年10月24日。出典：cve.org — CVE-2026-114625）。

この脆弱性はCWE-89、すなわちSQLインジェクション（SQLコマンドに使用される特殊要素の不適切な無害化）に分類される。Arista自身がCNA（採番機関）として算出したCVSSスコアはバージョン3.1で9.9（CRITICAL）、バージョン4.0で9.4（CRITICAL）であり、いずれも最高水準に近い深刻度と評価されている。

問題の核心は権限昇格にある。影響を受けるオンプレミス版VCOでは、認証済みの任意のユーザーがこの欠陥を悪用することで「operator」権限を取得し、ローカルの「superuser operator」ユーザーになりすますことができる。本来はシステム内部からのみ利用を想定した機能に、リモートからアクセスできてしまう点が問題の本質だ。悪用に成功した攻撃者は、VCOホスト全体およびオーケストレーターが管理するネットワークデータの機密性・完全性・可用性を損なわせることができる。

米国の政府機関向けサイバーセキュリティ機関CISAは2026年10月23日、本脆弱性を「既知の悪用された脆弱性（KEV）カタログ」に追加した。KEVへの掲載は、実際の攻撃への悪用が確認されたことを意味する（出典：CISA — Known Exploited Vulnerabilities Catalog）。CISAが米連邦機関に課した対処期限は2026年10月26日である（米連邦機関向けの義務であり、日本企業への義務ではない）。

関連記事VPNの脆弱性とは？種類別の弱点と攻撃手口は？ ／ AIセキュリティ対策とは？企業が知るべきリスクは？

VeloCloud Orchestrator脆弱性CVE-2026-114625の影響バージョンと修正状況

影響を受けるのはオンプレミス版VCOの次の各バージョン系統である（出典：cve.org — CVE-2026-114625）。

CVE-2026-114625の影響バージョンと修正版一覧

系統	影響を受ける範囲	修正版（以降が安全）	利用者の対応
5.2.x系（オンプレ）	5.2.0 〜 5.2.3.18 未満	5.2.3.18以降	アップデート必要
6.1.x系（オンプレ）	6.1.0 〜 6.1.3.10 未満	6.1.3.10以降	アップデート必要
6.4.x系（オンプレ）	6.4.0 〜 6.4.2.12 未満	6.4.2.12以降	アップデート必要
Hosted版（Dedicated含む）	影響を受けていたが修正済み	Arista側で適用済み	追加対応は原則不要

CVEレコード上のデフォルト状態（”unaffected”）は製品全体の既定を示す表記であり、上記バージョン範囲に該当する環境は影響を受ける。Hosted版およびDedicated版については、Aristaの側で修正が適用済みであり、利用者による追加対応は原則不要とされている。

オンプレミス版については、修正版へのアップデートを利用者自身が実施する必要がある。CVEレコード上にオンプレミス版向けの公式な回避策は現時点では記載されていないため、バージョンアップが実質的な主要な対処手段となる。

なお、EPSS（悪用される確率の統計的推定値）は2026年10月29日時点で0.0103（パーセンタイル：0.635）と報告されている（出典：NVD — CVE-2026-114625）。この数値は統計的推定であり「悪用される」と断定するものではない。ただし後述するとおり、EPSSが相対的に低い値でもKEVへの掲載（実際の悪用確認）と矛盾しないため、EPSS値のみを根拠に対応優先度を下げる判断は適切ではない。

VeloCloud Orchestrator脆弱性CVE-2026-114625が日本企業のSD-WAN運用に意味すること

VeloCloud OrchestratorはSD-WAN（Software-Defined Wide Area Network）の管理・制御の中枢を担う製品である。多拠点展開する企業では、各拠点のネットワーク制御がVCOに集約されているケースが多く、その管理核に特権奪取のリスクが生じた意味は小さくない。

CVSS 3.1スコア9.9の評価内訳を確認すると、攻撃経路はネットワーク経由（AV:N）、攻撃の複雑さは低（AC:L）、必要な権限は低（PR:L）、ユーザー操作は不要（UI:N）、スコープは変化あり（S:C）、機密性・完全性・可用性への影響はいずれも高（C:H/I:H/A:H）とされている。「必要な権限が低」という点は、低権限の認証済みユーザーでも悪用を試行できることを示している。

自社でVCOをオンプレミス運用している場合は、影響範囲に該当するバージョンかどうかをまず確認する必要がある。

一方で、KEVへの掲載は「世界的に悪用が確認された」という事実を示すものであり、特定の読者の環境が現在攻撃を受けているとは限らない。自社環境のバージョンと構成を正確に把握することが判断の出発点となる。

VeloCloud Orchestrator脆弱性CVE-2026-114625への実務対応手順

CISAはBOD 26-04（リスクに基づくセキュリティ更新の優先付け）に従った対処を要求しており、「ベンダーの指示に従ったミティゲーションの適用」または「ミティゲーションが利用できない場合は製品の使用停止」を求めている（出典：CISA — Known Exploited Vulnerabilities Catalog）。この要件は米連邦機関向けの義務規定であり、日本企業に対する義務ではない。

実務上の対応は次の順序で進めることが合理的だ。

1. バージョンの確認：オンプレミス版VCOを運用している場合は、現在のバージョンが影響範囲（5.2.0〜5.2.3.18未満、6.1.0〜6.1.3.10未満、6.4.0〜6.4.2.12未満）に該当するか確認する。複数系統を混在運用している環境ではすべての系統を個別に確認する。
2. Hosted版・Dedicated版の確認：AristaのHosted版またはDedicated版を利用している場合は修正が適用済みとされているため、追加対応は原則不要とみられる。ただし、自社の利用形態について必要に応じてArista側に確認することが望ましい。
3. アップデートの優先実施：オンプレミス版で影響バージョンを使用している場合は、各系統の修正版（5.2.3.18以降、6.1.3.10以降、6.4.2.12以降）への更新を最優先タスクとして扱う。KEV掲載案件は通常の脆弱性パッチより優先度を引き上げて処理することが、現在のセキュリティ運用の標準的な考え方に沿う。
4. アクセスログの確認：更新前後にVCOのアクセスログを確認し、異常な権限操作や想定外のoperator権限取得の痕跡がないか確かめる。CISAの「Forensics Triage Requirements」への言及も、感染の有無を調査するフォレンジック的な確認を推奨するものと解釈できる。
5. ベンダー告知の継続追跡：公式な回避策はCVEレコード上に現時点では記載されていない。Aristaの公式セキュリティアドバイザリを継続して確認し、新たな情報が出た場合は速やかに対応する。

修正版が無い場合や適用までに時間がかかる場合は、Aristaの公式アドバイザリを確認し、そこに記載がない対策は公式の回避策ではないことを踏まえて判断する必要がある。

情報の限界と過剰反応を避けるための視点

今回の脆弱性対応では、いくつかの情報的な制約を正確に把握しておく必要がある。

第一に、EPSS値（0.0103）とKEV掲載の関係についてだ。EPSSは将来の悪用確率の統計的推定であり、KEVはすでに悪用が確認されたという事実の記録である。両者は別の情報を表しており、EPSSが相対的に低い値であることはKEV掲載案件の優先度を下げる根拠にはならない。

第二に、KEVの対処期限（2026年10月26日）は米連邦機関向けの義務であり、日本企業には法的拘束力がない。KEVに掲載されている（実際に悪用が確認された）ことから、通常のパッチサイクルを待たずに対処の優先順位を上げることが望ましい。

第三に、CISAのフォレンジック要件への言及は、単純なパッチ適用に留まらず、既に侵害が発生していた場合の調査を求めるものと解釈できる。パッチ適用と並行して、侵害痕跡の確認を行うことが重要だ。

第四に、CVEレコード上にオンプレミス版向けの公式回避策が現時点では記載されていない以上、インターネット上で流通する非公式な回避策の採用には慎重であるべきだ。ベンダーが検証・保証していない措置は、意図しない副作用をもたらす可能性がある。

---

参考文献

• CVE.org — CVE-2026-114625 公式レコード（Arista CNA採番）
• NVD (National Vulnerability Database) — CVE-2026-114625（EPSS値含む）
• CISA — Known Exploited Vulnerabilities Catalog（KEV、BOD 26-04）