Arista VeloCloud Orchestrator 權限提升漏洞已遭利用

CVE-2026-114625

主要來源公告：2026-10-22

本站刊登：2026-10-24 · 內容更新：2026-10-24（香港日期）

情報摘要

Arista 表示 CVE-2026-114625 SQL 注入漏洞已遭積極利用。可連接 VCO 網頁介面並持有有效登入會話的用戶，包括最低租戶角色，可提升至 operator 並冒充本機 superuser operator。

VCO 5.2.x 早於 5.2.3.18；6.1.x 早於 6.1.3.10；6.4.x 早於 6.4.2.12

使用自建 VeloCloud Orchestrator 的香港企業及服務供應商

升級至所用版本線的修補版本。完成前限制網頁介面只供可信管理網絡存取，檢查異常活動；懷疑入侵時在可行情況下先保存相關日誌。

Arista 官方評分為 CVSS v3.1 9.9、CVSS v4.0 9.4。

Arista 稱託管及 Dedicated 版本已修補；已停止支援版本未經評估。

香港入侵個案及整體受害規模未獲證實。