本文へ移動

脆弱性悪用確認・修正版あり公表

VeloCloudの管理基盤に重大な欠陥、悪用を確認　自社運用版は更新を

認証済みユーザーが管理権限を得るおそれのあるSQLインジェクション。Aristaは実際の悪用を確認し、修正版への更新を案内しています。

対象となる人

VeloCloud Orchestratorを自社運用する管理者。5.2・6.1・6.4系列の対象版が該当し、Edge／Gatewayは対象外です。1

今すべきこと

公式の案内

各系列の5.2.3.18／6.1.3.10／6.4.2.12以降へ更新。管理画面の接続元を制限し、ログや想定外の管理変更を確認してください。1

初回公表: 2026.10.22
参照情報の更新: 2026.10.22
当サイトの確認: 2026.10.31

#VeloCloud #Arista #SQLインジェクション #CVE-2026-114625

押さえたい、3つのポイント

管理画面にログインできる人が悪用
管理画面へのネットワーク接続と有効なログインが必要です。テナントの読み取り専用権限でも、管理者権限を得るおそれがあります。1
自社運用版は3系列を確認
対象は5.2.xの5.2.3.18未満、6.1.xの6.1.3.10未満、6.4.xの6.4.2.12未満。それぞれ修正版以降への更新が必要です。1
クラウド提供版は修正済み
Hosted・Dedicatedは提供元が対応済み。VeloCloud EdgeとGatewayは今回の対象ではありません。1

公式ソースを確認する

1Arista：Security Advisory 0199（10月22日） ↗www.arista.com
2JPCERT/CC：10月28日Weekly Report ↗www.jpcert.or.jp

𝕏 でシェア

もう少し詳しく

どのくらい重大？: CVE-2026-114625のCVSS 3.1は9.9、CVSS 4.0は9.4。提供元が実際の悪用を確認しています。1
更新までの対策は？: 管理画面への接続元を信頼できる管理用ネットワークに制限。提供元はログや予期しない管理変更の確認も案内しています。1

サポート終了版は提供元の評価対象外であり、安全とは判断できません。認証不要の攻撃や、VPN機器すべての問題としては扱いません。