--- title: "Arista VeloCloud Orchestrator に SQL インジェクションの脆弱性、悪用が確認され米 CISA の一覧に追加（CVE-2026-114625）" url: https://n-t-p.io/worldsecurity/articles/arista-velocloud-sqli lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年10月30日 updated: 2026年10月30日 severity: 緊急 cve: CVE-2026-114625 --- # Arista VeloCloud Orchestrator に SQL インジェクションの脆弱性、悪用が確認され米 CISA の一覧に追加（CVE-2026-114625） > **TL;DR:** 米 CISA は 2026-10-23、自社設置（オンプレミス）版の Arista VeloCloud Orchestrator の脆弱性 CVE-2026-114625 を、悪用が確認された脆弱性の一覧（KEV）に追加した。対応期限は 2026-10-26。 **要点** - 米 CISA が悪用の確認を理由に KEV へ追加（2026-10-23）。対応期限 2026-10-26 はすでに過ぎている - 対象は自社設置のオンプレミス版。データベースへの命令を不正に差し込まれるおそれ - ベンダーの手順で緩和策を適用し、更新前後のログも確認する 自社で設置して使う Arista VeloCloud Orchestrator（拠点間ネットワーク SD-WAN の管理サーバー）に、データベースへの不正な命令を差し込める欠陥が見つかり、実際に悪用されていることが確認されました。 KEV とは、米国の CISA が「実際に悪用された」と確認した脆弱性の一覧です。 ## 何が問題か **CVE-2026-114625: Arista VeloCloud Orchestrator（オンプレミス版）** SQL インジェクションと呼ばれる欠陥です。ネットワーク越しの攻撃者が、本来は使えない内部の管理機能に触れ、Orchestrator を動かしているサーバー（VCO ホスト）に影響を与えるおそれがあります。悪用されると、Orchestrator が持つ管理データの漏えい・改ざん・停止につながる可能性があります。CVSS の評価では、攻撃に低い権限のアカウントが必要とされています。 分類（CWE）: CWE-89 ## 数値で見る | CVE | KEV 追加日 | 対応期限 | CVSS | EPSS | |---|---|---|---|---| | CVE-2026-114625 | 2026-10-23 | 2026-10-26 | 9.4（緊急・v4.0） | 1.0%（百分位 63.4） | ランサムウェア攻撃での悪用: KEV では「不明」です（「なかった」という意味ではありません）。 CVSS は深刻度を 0〜10 の点数にしたものです（NVD の掲載値）。EPSS は「今後 30 日以内に悪用が観測される確率」の推定で、2026-10-27 時点の値です（FIRST 調べ。日々変わります）。 KEV に載った脆弱性は「すでに悪用された」ものです。表の「対応期限」は米国の連邦機関に課される期限で、民間企業に義務はありませんが、優先度を決める目安になります。 ## 誰が気をつけるか 自社設置のオンプレミス版 VeloCloud Orchestrator を使っている組織。KEV の記載は「オンプレミス版」です。クラウド提供版が対象かどうかは、ベンダーの案内で確認してください。 ## 今やること 1. 自社の資産一覧で、対象の製品とバージョンを使っているか確認します（委託先や別拠点の運用分も含めます）。 2. 対象なら、出典のベンダー情報に従って、修正版への更新または緩和策を行います。KEV が示す対応は「ベンダーの手順に従った緩和策の適用」です。 3. 管理画面を、インターネットから直接開けない状態にします（接続元の制限・VPN 経由のみ）。 4. CISA はこの欠陥について、フォレンジックトリアージ（被害の痕跡を調べる初動調査）を求めています。更新の前に、ログと設定のコピーを残し、侵入された形跡がないかを確認します。 5. 対応期限（2026-10-26）はすでに過ぎています。未対応なら、今日のうちに着手してください。 ## 用語メモ - **KEV**: 米国の CISA（サイバーセキュリティ・社会基盤安全保障庁）が「実際に悪用された」と確認した脆弱性の一覧。 - **SQL インジェクション**: データベースに送る命令（SQL）に、攻撃者が別の命令を紛れ込ませる攻撃。 - **フォレンジックトリアージ**: 被害の痕跡があるかを素早く調べ、証拠を集める初動調査。 ## 出典 - CISA Known Exploited Vulnerabilities Catalog（JSON。版 2026.10.29 で再確認）（2026-10-30 確認） — https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json - CVE-2026-114625 のベンダー公式案内 — https://www.arista.com/en/support/advisories-notices/security-advisory/24838-security-advisory-0199 - NVD CVE-2026-114625（2026-10-28 確認） — https://nvd.nist.gov/vuln/detail/CVE-2026-114625 - FIRST EPSS API（2026-10-28 確認） — https://api.first.org/data/v1/epss ## 出典 - [CISA Known Exploited Vulnerabilities Catalog（JSON。版 2026.10.29 で再確認）](https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json) — CISA - [CVE-2026-114625 のベンダー公式案内](https://www.arista.com/en/support/advisories-notices/security-advisory/24838-security-advisory-0199) — ベンダー - [NVD CVE-2026-114625](https://nvd.nist.gov/vuln/detail/CVE-2026-114625) — NIST NVD - [FIRST EPSS API](https://api.first.org/data/v1/epss) — FIRST --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/arista-velocloud-sqli