脆弱性ナビやさしい製品ポータル情報の取得状況を確認
すべての製品の一覧に戻る

脆弱性の詳細

VeloCloud Orchestrator：脆弱性情報

その他の製品CVE-2026-114625重要度：深刻悪用が確認されています公式の対策情報あり

VeloCloud Orchestrator（VCO）オンプレミスにおいて、リモートの攻撃者が特権的な内部機能にアクセスし、VCO ホストに影響を与える可能性があります。成功すると、オーケストレータとその管理データの機密性・完全性・可用性が損なわれます。また、影響を受けるシステム上の認証済みユーザーはオペレータ権限を取得し、ローカルの「スーパーユーザーオペレータ」ユーザーになりすますことができます。これにより、本来内部利用のみを想定した機能へリモートからアクセスできるようになります。ホスト型（Dedicated を含む）バージョンも影響を受け、すでにパッチが提供されています。

原文の抜粋 1原文の抜粋 2

危険と対策

公式情報から自動作成した日本語解説・作成 2026/10/24 03:20 JST

どんな危険？

この脆弱性が悪用されると、オーケストレータとその管理下のデータの機密性、完全性、可用性が損なわれる恐れがあります。

原文の抜粋 1

自分は対象？

  • リモートの攻撃者が脆弱性を利用できることが前提です。

    公表された条件根拠 1原文の抜粋 1原文の抜粋 2

  • 影響を受けるシステム上の認証済みユーザーは、オペレータ権限を取得し、ローカルの「スーパーユーザーオペレータ」ユーザーになりすますことができます。

    公表された条件根拠 1原文の抜粋 1原文の抜粋 2

  • 内部利用のみを想定した機能がリモートからアクセス可能になる点が条件に含まれます。

    公表された条件根拠 1原文の抜粋 1原文の抜粋 2

  • ホスト型（Dedicated を含む）バージョンの VCO も影響対象です。

    公表された条件根拠 1原文の抜粋 1原文の抜粋 2

  • 公式の対象表：Arista Networks / VeloCloud Orchestrator。影響ありとして記載：5.2.0以上、5.2.3.18未満。影響ありとして記載：6.1.0以上、6.1.3.10未満。影響ありとして記載：6.4.0以上、6.4.2.12未満。対象の環境：VeloCloud Orchestrator On-Prem

    公表された条件根拠 1原文の抜粋 3

  • CISAの一覧では、この脆弱性が実際の攻撃に使われたことが確認されています。対象かどうかの確認と修正を優先してください。この情報だけで、あなたの環境が被害を受けたとは判断できません。

    公表された条件根拠 2原文の抜粋 6
対象の版
VeloCloud Orchestrator：>= 5.2.0 / < 5.2.3.18（環境: VeloCloud Orchestrator On-Prem）VeloCloud Orchestrator：>= 6.1.0 / < 6.1.3.10（環境: VeloCloud Orchestrator On-Prem）VeloCloud Orchestrator：>= 6.4.0 / < 6.4.2.12（環境: VeloCloud Orchestrator On-Prem）
修正版
版番号の一覧は未確認です。公表された具体的な対策は「どうすればいい？」に記載しています。

記号の読み方：< は未満、<= は以下、>= は以上、> は超える。

取得データの追加条件

対象環境・機能: VeloCloud Orchestrator On-Prem。製品バージョンだけでなく、原文の利用条件を照合してください。

どうすればいい？

  1. 修正済みの VCO リリースへできるだけ早くアップグレードすることが推奨されます。修正は以下のリリースで提供されています：VCO 5.2.3.18 以降（5.2 系列）、VCO 6.1.3.10 以降（6.1 系列）、VCO 6.4.2.12 以降（6.4 系列）。

    公表された対策根拠 1原文の抜粋 4

  2. 「CVE-2026-114625」と現在の版を管理担当者・提供元へ伝え、この問題に対応した修正版が提供されているか確認します。下の問い合わせ文に記入すれば、そのまま依頼できます。対象範囲の上限から修正版の番号を推測しないでください。

    一般的な作業手順根拠 3根拠 4根拠 2根拠 5根拠 6根拠 7

  3. 対象製品の正規の更新機能、または提供元が指定する配布経路で修正を含む更新を適用します。業務用の機器・サーバーは管理担当者と停止時間を決め、更新に必要な再起動まで完了させてください。

    一般的な作業手順根拠 9根拠 3根拠 4根拠 2根拠 5根拠 6根拠 7

使っているバージョンの調べ方

  1. 管理担当者に、利用中の製品名・開発元・版やビルド番号を確認してもらいます。上に記載した対象の機能・設定・利用者の権限も、実際の環境と照合してください。

    一般的な作業手順根拠 1原文の抜粋 3

  2. 「VeloCloud Orchestrator」の管理画面・設定・製品情報で、正式な製品名、開発元、版・ビルド番号を控えます。見つからない場合は、購入先・提供元・管理担当者へ下の問い合わせ文を送ってください。製品名が似ているだけでは対象とは判断できません。

    一般的な作業手順根拠 9根拠 3根拠 4根拠 2根拠 5根拠 6根拠 7

すぐに更新できないとき

  • 修正済みソフトウェアが導入されるまで、環境に応じた防御層の強化を行うことが推奨されます。具体的には、VCO のウェブインターフェースへのアクセスを信頼できる管理ネットワークに限定し、既知の悪意ある送信元 IP からのアクセスを監視し、VCO ホストからの予期しない外部通信を監視し、通常の活動に不要な外部ポートをブロックし、バックドア型デーモンやウェブシェルを監視し、管理者の最近の操作履歴を確認して予期しない変更がないか確認します。

    公表された対策根拠 1原文の抜粋 5

対応が終わったら確認すること

  1. 対応を依頼した場合は、実施した版・設定と完了日時、この脆弱性への修正が含まれると判断した根拠を担当者から受け取ってください。更新後は普段使う主要な操作も確認します。

    一般的な作業手順根拠 1原文の抜粋 3

  2. 更新後に製品情報を開き直して版・ビルド番号を記録し、このCVEへの修正が含まれることを提供元の回答・修正情報と照合します。通常使う主要な操作も確かめてください。

    一般的な作業手順根拠 9根拠 3根拠 4根拠 2根拠 5根拠 6根拠 7

まだ分からないこと・判断の限界

  • この解説は、利用中の機器・サイトの設定や修正の適用状況を検査した結果ではありません。製品名・版と上に示した条件を、実際の環境と照合してください。

管理会社・担当者に聞くための確認メモ

自分で操作できない場合に使えます。コピー先で空欄を埋めて担当者へ送ってください。

この解説・手順の根拠

  1. CVE：Arista
  2. CISA KEV（悪用確認）
  3. CVE公式レコード
  4. CISAが示す関連情報
  5. CISAが示す関連情報
  6. CISAが示す関連情報
  7. CISAが示す関連情報
  8. FIRST公式：CVSS 3.1の条件の定義
  9. CISA：ソフトウェア更新の基本

説明に対応する原文の抜粋

日本語の説明の根拠になった、取得済みの公式情報です。各抜粋を開くと、出典と元の文章を確認できます。

  1. 抜粋 1：raw.githubusercontent.com
    VeloCloud Orchestrator (VCO) on-prem has a security issue where this issue may allow a remote attacker to access privileged internal functionality and impact the VCO host. Successful exploitation may compromise the confidentiality, integrity, and availability of the orchestrator and data managed by the orchestrator. On an affected system, any authenticated user can gain operator privileges and masquerade as a local "superuser operator" user. This includes access to functionality that is intended for internal use only and which is not intended to be remotely accessible. Hosted, including Dedicated, versions of VCO were impacted and have already been patched.
    この抜粋の出典を開く

    取得元の項目：/containers/cna/descriptions/0/value ／ 言語：en

  2. 抜粋 2：raw.githubusercontent.com
    Security Advisory 0199
    この抜粋の出典を開く

    取得元の項目：/containers/cna/title ／ 言語：未指定

  3. 抜粋 3：raw.githubusercontent.com
    {"vendor":"Arista Networks","product":"VeloCloud Orchestrator","platforms":["VeloCloud Orchestrator On-Prem"],"defaultStatus":"unaffected","versions":[{"version":"5.2.0","lessThan":"5.2.3.18","status":"affected","versionType":"custom"},{"version":"6.1.0","lessThan":"6.1.3.10","status":"affected","versionType":"custom"},{"version":"6.4.0","lessThan":"6.4.2.12","status":"affected","versionType":"custom"}]}
    この抜粋の出典を開く

    取得元の項目：/containers/cna/affected/0 ／ 言語：未指定

  4. 抜粋 4：raw.githubusercontent.com
    The recommended resolution is to upgrade to a fixed VCO release at your earliest convenience. These vulnerabilities have been fixed in the following releases: - VCO 5.2.3.18 and later in the 5.2 train - VCO 6.1.3.10 and later in the 6.1 train - VCO 6.4.2.12 and later in the 6.4 train
    この抜粋の出典を開く

    取得元の項目：/containers/cna/solutions/0/value ／ 言語：en

  5. 抜粋 5：raw.githubusercontent.com
    Until the fixed software is deployed, operators should apply defense-in-depth controls appropriate for their environment: - Restrict access to the VCO web interface to trusted administrative networks. - Monitor the VCO for accesses from known malicious source IPs. - Monitor for unexpected outbound network activity from the VCO host. - Consider blocking outbound ports not needed for normal activities. - Monitor for backdoor daemons and webshells. - Review recent administrator activity for unexpected changes.
    この抜粋の出典を開く

    取得元の項目：/containers/cna/workarounds/0/value ／ 言語：en

  6. 抜粋 6：www.cisa.gov
    {"id":"CVE-2026-114625","source":"CISA KEV","knownExploited":true,"meaning":"CISA lists this vulnerability as known to have been exploited in the wild. This does not establish compromise of the reader's environment or prove ongoing attacks today."}
    この抜粋の出典を開く

    取得元の項目：/exploitStatus ／ 言語：en

悪用状況の「未確認」は、悪用されていないことを意味しません。対策は製品・バージョン・利用条件によって異なります。適用前に情報源とご自身の環境を確認してください。

情報の出典と更新日時

識別子
CVE-2026-114625
情報源での公開
2026/10/23 05:47 JST
情報源での更新
2026/10/24 02:58 JST
当サイトの取得
2026/10/24 03:20 JST
CVSSスコア
9.9 / 10.0（v3.1）
説明の作成方法
公式の公開情報を根拠に自動作成した日本語解説です。引用との整合性を自動検査しています。人による個別確認や利用環境の診断ではありません。

CVSS評価元：Arista。重要度は技術的な深刻度の目安であり、対応の順序は悪用状況や利用環境も含めて判断してください。

情報源ごとの取得日時

原典の更新日時と当サイトの取得日時は、情報源ごとに異なります。上の更新・取得日時は、それぞれの最新値です。

  • CVE原典の更新：2026/10/24 02:58 JST取得：2026/10/24 03:20 JST
  • CISA KEV原典の更新：2026/10/23 09:00 JST取得：2026/10/24 03:17 JST
原文と条件を確認

VeloCloud Orchestrator (VCO) on-prem has a security issue where this issue may allow a remote attacker to access privileged internal functionality and impact the VCO host. Successful exploitation may compromise the confidentiality, integrity, and availability of the orchestrator and data managed by the orchestrator. On an affected system, any authenticated user can gain operator privileges and masquerade as a local "superuser operator" user. This includes access to functionality that is intended for internal use only and which is not intended to be remotely accessible. Hosted, including Dedicated, versions of VCO were impacted and have already been patched.

情報源の対策案内（原文）

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

この情報をAIに渡す

この1件の対象・リスク・対策・出典を取得

JSONを見る

この情報をMarkdownで開くAIでの利用方法

このサービスを共有

脆弱性を確認する入口を、チームや知り合いに。

Xで共有