通告
Arista 披露 VeloCloud Orchestrator CVE-2026-114625（CVSS 9.9）SQL 注入，已确认遭活跃利用
Arista 于 10 月 22 日发布 Security Advisory 0199，公开 CVE-2026-114625，称本地部署的 VeloCloud Orchestrator（VCO）存在 SQL 注入（CWE-89），CVSSv3.1 为 9.9。任意已认证用户（含最低的 Enterprise Read Only 角色）可提升至 operator 权限并冒充本地超级用户，进而触及本不应远程可达的内部功能，可能影响编排器主机与其管理数据的机密性、完整性与可用性。Hosted/Dedicated 云端 VCO 已由厂商修补；受影响本地版本为 5.2.x（低于 5.2.3.18）、6.1.x（低于 6.1.3.10）、6.4.x（低于 6.4.2.12）。厂商写明由内部发现且已知活跃利用，建议升至修复版并在升级前限制门户可达范围、审查异常管理操作。
跟你的关系自建 VeloCloud Orchestrator 的团队应立即核对版本并升至对应修复线，同时收紧管理面网络暴露并核查近期管理员与门户访问异常。
活动
厂商称已确认活跃利用；公开通告日期 2026-10-22；云端实例已先于通告完成修补。
- 状态
- 已公开
- 行业
- 信息技术、专业服务、电信
- 可信度
- 高
可信度标为高：已经打开的独立调查报告不止一份。
来源
Arista · 事件调查报告 · 最先提出