拠点ネットワークの機器を更新していても、その機器をまとめて管理するサーバーが古いままなら、点検は終わっていません。今回はVeloCloud Orchestrator（VCO）のCVE-2026-114625を扱います。優先すべきなのは、管理基盤の所在と運用責任者を特定し、更新と過去の侵害確認を別々に進めることです。
Aristaの勧告0199は実悪用を確認済みです。攻撃にはWeb管理画面への到達と有効なログインセッションが必要ですが、最低ロールのEnterprise Read Onlyで成立します。「一般利用者には閲覧権限しかない」だけで安全と判断しないでください。
何が新しいのか：10月23日のKEV追加を受けて点検する
CISAのKEV公開データは、10月23日にこのCVEを追加しました。KEVは、実際の悪用が確認された脆弱性のカタログです。登録のdueDateは10月26日、forensicTriageはYes、ランサムウェアでの使用はUnknownです。Unknownを「悪用なし」や「ランサムウェア被害なし」と読み替えてはいけません。
| 出来事 | 確認できた日付・範囲 |
|---|---|
| 開発元の初回勧告 | 2026年10月22日、Revision 1.0。時刻・タイムゾーンは不明 |
| KEV追加 | 2026年10月23日。時刻は不明 |
| 修正版 | 勧告に修正版を掲載。各配布物が最初に提供された厳密な日時は未確認 |
| この記事の確認 | 2026年10月25日16時台（日本時間）。勧告は約3日前、KEV追加は約2日前 |
本稿は「今日発見された脆弱性」という速報ではありません。直近24時間だけでは題材を絞りきれないため72時間程度まで確認範囲を広げ、未掲載で悪用確認済みの管理基盤の問題を優先しました。KEVの日付は対応の優先度を考える材料です。日本の読者に一律の法定期限として10月26日を示すものではなく、自社の公開状況・契約・影響範囲を踏まえて担当者が期限を決めてください。
VCOとは：支店の機器とは別にある管理の中心
公式の製品概要によると、VCOはネットワークの導入・設定・監視を集中管理するWebベースの仕組みです。SD-WANは、複数の拠点や回線をソフトウェアで管理するネットワークの考え方。現場の機器だけを見ると、集中管理を担うVCOの版を見落としやすくなります。
例えば「支店ルーターの更新は完了」という報告があっても、それだけでは管理サーバーの更新は証明できません。台帳に「VCO」「Edge」「Gateway」を別行で置き、どの運用会社・部署がどこまで担当するかを書き分けると、問い合わせが具体的になります。これは編集部の運用提案です。
対象版と修正版を、管理サーバーの版で照合する
| VCOの系列 | 影響する版 | このCVEの修正版 |
|---|---|---|
| 5.2.x | 5.2.3.18より前 | 5.2系列の5.2.3.18以降 |
| 6.1.x | 6.1.3.10より前 | 6.1系列の6.1.3.10以降 |
| 6.4.x | 6.4.2.12より前 | 6.4系列の6.4.2.12以降 |
開発元はHosted版（Dedicatedを含む）を修正済みとし、自社運用のOn-Prem版について上表を示しています。VeloCloud EdgeとGatewayはこのCVEの対象外です。サポート終了版は評価対象外なので、一覧にない古い版を自己判断で安全扱いせず、保守窓口へ確認してください。
クラウド上の仮想マシンで自社運用している場合も、単に「クラウドだからHosted版の修正済みに含まれる」と決めないでください。誰がVCOソフトウェアを更新する契約なのかを確認します。販売代理店経由のサービスなら、担当会社へインスタンスの版と修正完了時刻を問い合わせるのが出発点です。
原因と影響：ログイン後の権限境界が破られる
勧告の分類はSQLインジェクション（CWE-89）。Aristaの評価はCVSS v3.1で9.9、v4.0で9.4です。認証済み利用者がoperator権限を得てローカルのsuperuser operatorになりすまし、VCOと管理データに影響する可能性があります。修正前の露出を解消する製品設定はないとされています。
SQLはデータベースへの問い合わせに使う言語です。一般にSQLインジェクションは、データとして受け取るべき入力が問い合わせの構造に影響する問題を指します。ただし、この一般説明から本件の特定の入力欄・API・攻撃手順までは断定できません。また、製品内のsuperuser operatorという呼称を、OSのroot権限と同一視しないでください。
運用上の読み方は、「ログインを許した人だから問題ない」ではなく、「その人に許した役割の範囲をシステムが守れるか」です。MFAや接続元制限は入口の防御に役立っても、成立済みのセッションに対する権限処理の修正そのものにはなりません。CVSSの値だけでなく、実悪用と自社の管理画面への到達経路を合わせて判断します。
対応の順序：担当・証拠・変更・確認を一枚にする
公式運用ガイドにはアップグレード、バックアップ、災害復旧構成の説明があります。実際の更新方法は利用系列・構成・保守契約に合わせて確認してください。以下は編集部が整理した実行計画で、全環境でそのまま使えるアップグレードコマンドではありません。
- 1担当を確定：VCOの運用者、保守窓口、影響する拠点・利用部門、変更を承認する人を決めます。
- 2現状を記録：稼働VCOの完全な版、構成、管理画面の接続元、アカウントの役割、ログの保存期間を確認。インストーラーのファイル名だけで稼働版を断定しません。
- 3侵害の疑いを評価：未承認の管理操作や不審な通信があれば、インシデント対応担当と証拠保全・封じ込めを調整します。更新作業だけで調査を終了しません。
- 4変更を計画：バックアップと復元手順、更新経路、停止影響、作業枠、問題時の切り戻し条件を保守窓口と確認。脆弱な版へ戻る場合は再露出の扱いも決めます。
- 5変更後を確認：稼働する各VCOの版、正常な管理者のログイン、期待した設定の維持、監視と運用の継続を確認します。冗長・災害復旧構成は相手側の確認も残します。
| 完了条件 | 残す証拠 | 完了としない例 |
|---|---|---|
| 脆弱性への対応 | 稼働VCOの版・確認時刻・修正版との照合 | パッケージ取得だけ、Edgeの更新だけ |
| 業務への影響確認 | 管理・監視・必要な通信の確認記録 | ログイン画面が開くことだけ |
| 過去の侵害確認 | 調査期間・ログ範囲・判定者・未確認期間 | 更新したので過去も安全と判断 |
| 担当間の引き継ぎ | 残課題・担当・期限を記載した記録 | 口頭で「たぶん済んだ」と連絡 |
暫定策とログ調査は、更新の代わりではない
勧告は管理画面への到達制限や不審な外向き通信の監視を挙げ、侵害が疑われる場合には運用上可能な範囲で修復前のログ等の保全を求めています。これらは修正版の適用と合わせて行う対策です。
接続元を狭める場合は、現場の監視・保守・必要な機器通信を把握してから変更を計画します。ネットワーク全体を止めるような制限をLLMに即実行させないでください。実施者・作業時刻・戻し方と、制限後にも必要な運用が続くことを確認する項目を先に書きます。
調査記録には「いつからいつまで確認できたか」を必ず残します。不審なIPが見当たらないこと、ログ検索のヒットがゼロであること、アラートが出ていないことだけでは侵害なしと証明できません。保存期間外や取得できなかったログがあれば、その空白を明示して対応担当に引き継ぎます。更新後にも調査の宿題が残ることはあります。
LLMに頼むのは、匿名化した棚卸しと未確認事項の整理
まず次の指示文で、版・運用責任・露出期間を整理します。機密の管理URL、顧客名、認証情報、セッション値、生ログを外部LLMへ貼らないでください。モデルの判断は証拠を整理する補助であり、安全性の保証ではありません。
CVE-2026-114625について、当社が権限を持つVeloCloud Orchestratorの読み取り専用の棚卸しを手伝ってください。
根拠はArista Security Advisory 0199とCISA KEVの最新版です。参照URL・確認日時・対象版を明記してください。資料を取得できなければ、その旨を示して推測しないでください。
私が渡すのは匿名化した資産ID、製品名、完全な稼働版、Hosted/自社運用の区別、保守担当、接続可能なネットワークの分類、ロール一覧、更新履歴、ログ保持期間だけです。認証情報、管理URL、顧客情報、生ログは要求しないでください。
VCOとEdge/Gatewayを区別してください。読み取り専用アカウントがあることや、クラウドVM上にあることを安全の根拠にしないでください。サポート終了版・不明版は未確認としてください。
出力は、資産ID、影響判定と根拠、未確認事項、次に確認する人、修正計画、変更後の確認、過去の侵害調査を分けた表にしてください。事実・提案・不明を区別してください。
攻撃再現、外部スキャン、更新、再起動、アクセス制限、アカウント変更、ログ削除は実行しないでください。変更は計画までとし、人によるレビューを前提にしてください。更新完了と侵害なしを同一視せず、最後に未確認の期間と判断を保留すべき点を列挙してください。点検指示文をダウンロードできます。ネットワークの利用者は独自の脆弱性検査をせず、管理担当へ「VCOの運用主体」「修正版の適用状況」「過去の侵害確認の担当」の3点を問い合わせてください。
確認日：2026年10月25日16時台（日本時間）。製品の更新・侵害再現・実機検証は行っていません。一次資料に基づく防御側の運用解説と編集部の点検案です。共通の考え方は脆弱性ウォッチの基本、ログの空白と公開範囲の確認はJPCERTの注意喚起を扱った記事を参照してください。