アリスタのSD-WAN管理基盤VCOに悪用中の脆弱性、最低権限でも到達、米CISAがKEV追加

　アリスタ・ネットワークスは10月22日、拠点間の通信を制御するSD-WANの管理基盤「VeloCloud Orchestrator（VCO）」のオンプレミス（自社運用）版に、悪用が確認されている脆弱性（CVE-2026-114625）があると明らかにした。セキュリティアドバイザリーで公表した。同社は、この脆弱性が悪用されていることを把握しているとしている。

　共通脆弱性評価システム（CVSS）のスコアは、v3.1で9.9、v4.0で9.4。アドバイザリーによると、認証済みのユーザーが、本来は内部専用の特権機能にリモートからアクセスでき、VCOのホストに影響が及ぶ恐れがある。必要な権限は、組み込みの役割で最も低い「Enterprise Read Only」でも足りる。アリスタ自身が検出した。脆弱性の分類はCWE-89（SQLインジェクション）だが、アドバイザリーの記述は特権機能へのアクセスが中心となっている。

　影響を受けるのは、オンプレミス版のVCO 5.2.x（5.2.3.18未満）、6.1.x（6.1.3.10未満）、6.4.x（6.4.2.12未満）。サポートが終了した版は評価の対象外という。ホスト型と専用型のVCOは修正済み。修正版は、5.2.3.18以降、6.1.3.10以降、6.4.2.12以降となる。

　アリスタは侵害の指標として、IPアドレス「74.82.197[.]86」と「38.54.50[.]151」を挙げた。修正版を適用するまでの暫定策として、管理画面への接続を信頼できる管理ネットワークに限ること、VCOのホストからの不審な外向きの通信を監視すること、ウェブシェルやバックドアの有無を確認すること、管理者の最近の操作を見直すことを求めている。

　米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は10月23日（米国時間）、この脆弱性を悪用確認済み脆弱性（KEV）カタログに追加した。