【ITニュース解説】Mapping the fix: which Arista VeloCloud Orchestrator builds close CVE-2026-114625

Arista社が提供するネットワーク管理ソフトウェア「VeloCloud Orchestrator（VCO）」に見つかった深刻なセキュリティ上の欠陥（脆弱性）と、それに対する修正方法について、詳細な情報が公開された。この脆弱性は「CVE-2026-114625」という共通識別番号で管理されており、その危険度は極めて高い9.9と評価されているだけでなく、実際にすでに攻撃者がこの欠陥を悪用していることが判明しているため、早急な対応が必要となる。

VeloCloud Orchestratorは、SD-WAN（Software-Defined Wide Area Network）と呼ばれる技術を利用し、企業の様々な拠点間のネットワーク接続や通信を、ソフトウェアを用いて効率的に制御・管理する司令塔のようなシステムである。ネットワーク機器の設定や運用を自動化し、障害発生時の対応なども迅速に行う重要な役割を担っており、もしこのVCOに脆弱性があれば、企業ネットワーク全体が危険に晒される可能性がある。

今回発見された脆弱性「CVE-2026-114625」は、詳細がSQLインジェクションと呼ばれるタイプの攻撃手法に関わるものとされている。SQLインジェクションとは、ウェブアプリケーションの入力フォームなどを通じて、データベースを操作するための命令文（SQL）に不正なコードを紛れ込ませることで、本来意図しない情報の窃取や改ざん、システムの乗っ取りなどを行う攻撃手法である。つまり、攻撃者はこの脆弱性を悪用してVCOのデータベースに不正にアクセスし、機密情報を盗み出したり、VCOの機能を乗っ取ったりする可能性があるということになる。

この脆弱性への対応は、いくつかの点で複雑さを伴う。Arista社はVCOに対し、複数の「リリース・トレイン」と呼ばれる開発の系統やバージョン系列を並行して提供している。例えば、「5.2」「6.1」「6.4」といった異なる主要バージョンごとに、それぞれ独立した開発ラインが存在する。そのため、各リリース・トレインに対して個別の「ビルド」、つまり特定の更新プログラムやバージョンが用意されており、5.2系列のVCOには5.2系列用の修正ビルドを、6.4系列のVCOには6.4系列用の修正ビルドを適用しなければならない。異なる系列の修正ビルドを適用しても、脆弱性は解消されないため、適用する更新プログラムが自身のVCOのリリース・トレインと合致しているかを確認することが非常に重要である。

さらに、過去に修正された他の脆弱性との関係も考慮する必要がある。今回の「CVE-2026-114625」は、以前に発見された9月の脆弱性（CVE-2026-93952）や7月の脆弱性（CVE-2026-16812）とは異なる性質のものであり、これまでの修正ビルドでは今回の脆弱性を防ぐことができない。例えば、5.2系列で9月の脆弱性を修正したとされる「5.2.3.16」というビルドも、今回の「CVE-2026-114625」に対しては依然として脆弱な状態にある。したがって、各リリース・トレインで「CVE-2026-114625」を修正するためには、それぞれ「5.2.3.18以降」「6.1.3.10以降」「6.4.2.12以降」といった、今回新たに示された特定のビルドへアップグレードする必要がある。

特に6.1系列のユーザーは注意が必要である。9月の脆弱性に対する修正がまだ明確にリストされていないため、今回の修正ビルド（6.1.3.10）が9月の脆弱性も同時に修正するのかどうか、Arista社から書面での確認を取ることが強く推奨されている。これは、一度のアップグレードで複数の脆弱性をまとめて解決できるかどうかが不明確なため、慎重な対応が求められるためである。

今回の脆弱性の影響範囲についても正確な理解が求められる。この脆弱性の影響を受けるのは、Arista VeloCloud Orchestratorの特定のバージョンとビルドに限られる。VeloCloud GatewayやVeloCloud Edgeといった他の関連製品は、今回の脆弱性を持つコードを含んでいないため影響を受けない。また、現時点（ニュース記事執筆時点）でリストにない7.0系列のバージョンも、Arista社によれば脆弱性の対象外である。もしArista社が直接サービスとして提供するHosted版やDedicated版のVCOを利用している場合は、Arista社側でパッチ適用が行われるため、顧客側で何かをインストールする必要はない。ただし、データ侵害の可能性については、サービスプロバイダーに確認することが重要である。

もし利用しているVCOのバージョンがすでにArista社のサポート期間を終了している場合、状況はさらに複雑になる。サポート終了済みのバージョンは今回の脆弱性について評価されていないため、Arista社のテクニカルアシスタンスセンターに連絡し、アップグレードの選択肢について個別に相談する必要がある。これは通常のパッチ適用よりも時間がかかる可能性があり、問題が発生する前に早めに着手することが賢明である。

システム管理者やVCOの運用担当者は、以下の手順で脆弱性に対処することが推奨される。まず、現在稼働しているすべてのVCOホストの正確なビルドバージョンを洗い出し、記録すること。これには、本番環境だけでなく、スタンバイやテスト用のインスタンスも含まれる。次に、そのビルドバージョンが、自身のリリース・トレインに対して示された修正済みビルドに該当するかどうかを確認する。パッチを適用する際には、インターネットから直接アクセス可能なVCOから優先的に適用し、その後に内部ネットワークに限定されたVCOに対処するのが良い。また、パートナー企業が管理するテナントについても、同様の修正要件が満たされているかを確認し、パッチ適用期間終了後には、正しく更新が適用されたかを再度確認する作業も欠かせない。これは、複数のお客様を管理する環境では、部分的な適用にとどまるケースが少なくないためである。

もし何らかの理由で、すぐにパッチを適用できない場合でも、暫定的な対策を講じることでリスクを軽減できる。具体的には、VCOのウェブインターフェースへのアクセスを、信頼できる管理者ネットワークのみに制限したり、既知の悪意あるIPアドレスからの接続を監視したり、VCOホストから外部への予期しない通信を監視したりすることが挙げられる。また、通常の運用に不要なアウトバウンドポートを閉鎖したり、不正なバックドアプログラムやウェブシェルが存在しないかを確認したり、最近の管理者による変更履歴に不審な点がないかをレビューしたりすることも有効な手段である。しかし、これらの暫定措置は、あくまで攻撃の到達性を下げるだけであり、根本的な脆弱性であるSQLインジェクション自体を除去するものではない点、またVCOの設定ではインターフェースのデフォルトの露出を防げない点には注意が必要である。

さらに重要なのは、パッチ適用が完了しただけで安心できないという点である。Arista社は、アップグレードによって攻撃者がすでに得たアクセス権が自動的に除去されるとは限らないと警告している。つまり、脆弱な状態でインターネットに公開されていたVCOは、パッチ適用後も依然として攻撃者が内部に潜伏している可能性があるということだ。そのため、修正作業を行う前に、VCOのウェブアクセスログ、アプリケーションログ、システムログ、データベースログ、そしてファイルシステムのタイムスタンプといった証拠を保全しておくことが強く推奨されている。これらのログは、修復作業の過程で上書きされてしまう可能性があるため、事前に収集しておくことで、万が一のインシデント発生時の調査や原因究明に役立てることができる。

今回の情報は、セキュリティ対策がいかに継続的で多角的な視点から行われるべきかを示している。単にパッチを適用するだけでなく、システムのインベントリ管理、バージョンの系統ごとの細かな対応、過去の脆弱性との関連性の確認、そしてパッチ適用後のさらなる確認作業とログの保全まで、システムエンジニアが考慮すべき多くの要素が含まれている。