Arista／官方：VeloCloud Orchestrator 零日 CVE-2026-114625——SQL 注入可讓已登入用戶冒充超級操作員；CVSS 九點九、野外利用中；CISA 列入 KEV

重點摘要

Arista Networks 於二零二六年十月二十二日發布 Security Advisory 0199：VeloCloud Orchestrator（VCO）本地部署存在可被積極利用的 SQL 注入零日漏洞 CVE-2026-114625，CVSS v3.1 評分為九點九；任何已登入用戶（最低 Enterprise Read Only）可提權冒充本機超級操作員。託管／Dedicated 版本已由廠商修補，本地版須升級至 5.2.3.18、6.1.3.10 或 6.4.2.12 或以後。美國 CISA 於十月二十三日將該 CVE 列入已知被利用漏洞目錄。來源真實性已核對 Arista 官方公告、CVE 紀錄與 CISA KEV 通報。

Arista／官方：VeloCloud Orchestrator 零日 CVE-2026-114625——SQL 注入可讓已登入用戶冒充超級操作員；CVSS 九點九、野外利用中；CISA 列入 KEV

Arista Networks 於二零二六年十月二十二日發布 Security Advisory 0199：VeloCloud Orchestrator（VCO）本地部署存在可被積極利用的 SQL 注入零日漏洞 CVE-2026-114625，CVSS v3.1 評分為九點九；任何已登入用戶（最低 Enterprise Read Only）可提權冒充本機超級操作員。託管／Dedicated 版本已由廠商修補，本地版須升級至 5.2.3.18、6.1.3.10 或 6.4.2.12 或以後。美國 CISA 於十月二十三日將該 CVE 列入已知被利用漏洞目錄。來源真實性已核對 Arista 官方公告、CVE 紀錄與 CISA KEV 通報。

Arista／官方：VeloCloud Orchestrator 零日 CVE-2026-114625——SQL 注入可讓已登入用戶冒充超級操作員；CVSS 九點九、野外利用中；CISA 列入 KEV

企業 SD-WAN 編排器一旦失守，邊緣裝置與跨據點流量政策都會落入攻擊者手中。Arista 於二零二六年十月二十二日公開 Security Advisory 0199，確認前 Broadcom VeloCloud Orchestrator 本地版（On-Prem）存在 CWE-89 SQL 注入漏洞 CVE-2026-114625，並寫明「已知正被積極利用」。本文已核對 Arista 官方公告、CVE.org 紀錄，以及 CISA 於十月二十三日將該漏洞加入 Known Exploited Vulnerabilities（KEV）目錄的通報；加拿大網路安全中心亦於同日轉發。

一、核心事件：編排器控制平面的認證後提權

技術細節

VeloCloud Orchestrator（VCO）是管理 VeloCloud SD-WAN 與邊緣裝置的網頁編排入口，負責設定、監控與營運。漏洞追蹤編號為 CVE-2026-114625，弱點類型為 CWE-89（SQL 注入）。Arista 公布：

  • CVSS v3.1 基準分：九點九（向量 AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H）
  • CVSS v4.0 基準分：九點四
  • 內部追蹤：BUG2043622

成功利用後，攻擊者可存取本應僅限內部的特權功能，並影響編排器主機的機密性、完整性與可用性。在受影響系統上，任何已通過認證的用戶都能取得 operator 權限，並冒充本機「superuser operator」；其中包括不擬對外開放的內部功能。

利用前置條件並不高：VCO 網頁介面預設對外可達；攻擊者只需能連上該介面並持有有效登入工作階段。最低所需角色為租戶內建最低權限「Enterprise Read Only」。Arista 明確寫道：沒有組態可關閉這項暴露面。

二、影響範圍與修補版本

受影響產品為 VeloCloud Orchestrator On-Prem（前稱 Broadcom VeloCloud Orchestrator）。受影響軟體版本：

  • VCO 5.2.x：5.2.3.18 之前
  • VCO 6.1.x：6.1.3.10 之前
  • VCO 6.4.x：6.4.2.12 之前

已終止支援的版本未獲評估。Arista 列出大量不受影響的產品線，包括 EOS 交換器系列、CloudVision、VeloCloud Gateway、VeloCloud Edge 等——此次焦點在編排器 On-Prem，而非邊緣硬體本身。

已修復版本：

  • 5.2 系列：5.2.3.18 或以後
  • 6.1 系列：6.1.3.10 或以後
  • 6.4 系列：6.4.2.12 或以後

託管版（含 Dedicated）曾受影響，但 Arista 表示已完成修補。本地部署客戶須自行盡快升級；若不在支援版本線，應聯絡 Arista TAC 討論升級路徑。

三、野外利用跡象與緩解建議

Arista 稱漏洞由內部發現，並確認野外利用中。建議營運人員檢查 VCO 網頁存取日誌：異常 URL 路徑元件、編碼字元、指向本機／內部服務的參照，或異常高頻請求都應調查。已觀察到參與攻擊的來源位址包括：

  • 74.82.197.86
  • 38.54.50.151

應封鎖上述位址並回查歷史連線。若懷疑失陷，應在可行範圍內先保全網頁存取日誌、後端應用日誌、系統／資料庫日誌與相關檔案系統時間戳，再進行整治。

在完成升級前，Arista 建議以縱深防禦降低風險：將 VCO 網頁介面限於可信管理網段；監控已知惡意來源存取；留意編排器主機異常外連；封鎖非必要外連埠；監控後門常駐程式與 webshell；覆核近期管理員變更是否異常。

美國 CISA 於十月二十三日把 CVE-2026-114625 加入 KEV，並提醒聯邦機構依 BOD 26-04 優先修補高風險、公開暴露且利用後可完全控制資產的漏洞；同時鼓勵所有機構採風險導向修補。加拿大網路安全中心同日發佈 AV26-1080更新，轉述野外利用與 KEV 入列。

四、日常應用場景

1. 開發者與技術團隊

把「控制平面編排器」與邊緣裝置分開看待：修補邊緣韌體不夠，編排器帳號、網段隔離與日誌留存同樣關鍵。任何低權限租戶帳號被盜，都可能變成超管通道。

2. 企業與隱私敏感行業

金融、零售、製造與跨區辦公室若以 SD-WAN 串接分店，編排器往往是單一管理樞紐。應立即核對 VCO 版本、限制管理介面來源 IP、輪替管理員憑證，並把編排器納入漏洞掃描與變更管理。

3. 一般用戶／中小企 IT

若採購的是託管 VeloCloud／由電訊商代管的編排服務，應向供應商索取「Hosted／Dedicated 已套用修補」的書面確認；自建 On-Prem 則排程升級至上述修復版。

4. 香港與亞洲市場視角

香港企業常見「總部—分店—雲端」混合連線，SD-WAN 與本地編排器並不少見。結合近日區域供應鏈與雲端入侵事件，控制平面零日屬於應優先排程的營運風險，而非可延後的例行補丁。

五、專業評價與潛在考量

優勢

  • 廠商公開 CVSS、利用前置條件、修復版本與 IoC，資訊可操作。
  • 託管環境已先修補，降低部分客戶即時暴露。
  • CISA KEV 入列提高跨國合規與採購壓力，有助加速升級。

需要留意的地方

  • 最低「唯讀」角色即可提權，代表權限模型與輸入消毒同時失守。
  • 預設暴露網頁介面，令互聯網可達的 On-Prem 編排器風險陡增。
  • 終止支援版本未評估，舊線客戶可能陷入無官方修補的空窗。

結語

CVE-2026-114625 說明：SD-WAN 的弱點不一定在邊緣盒，而可能在你每天登入的編排控制台。當「唯讀」帳號足以冒充超級操作員，修補與網段隔離就必須同步。香港企業若要收緊雲端與廣域網絡邊界，可參考 YSK Limited 的雲端遷移與網絡安全服務：https://ysk.hk/services/cloud-security

參考來源

延伸閱讀 · 相關服務與產品

相關文章