CVE-2026-114625CVSS 9.9需登录的 SQL 注入
即使只有 Enterprise Read Only 权限，也能获得超级运营管理员权限。
Arista 确认 VeloCloud Orchestrator SQL 注入漏洞遭到在野利用
CVE-2026-114625 可让已登录的 VeloCloud Orchestrator 用户获得运营管理员权限。Arista 确认已发生攻击；托管实例已修复，本地部署需要升级。
- 披露时间
- 2026年10月22日
- 更新于 2026年10月23日
- 严重程度
- CVSS 9.9
- 本页收录 1 个 CVE
- 波及范围
- 低于所列修复版本且 Web 可访问的 VCO，加上有效门户会话；Enterprise Read Only 权限即足够
- velocloud
- 在野利用
- 已发现
- Arista 确认利用；CISA 于 10月23日加入 KEV
发生了什么
L4： SD-WAN 管理平面已确认遭到利用。攻击需要能访问门户并持有登录会话。Hosted 和 Dedicated VCO 已修复；Gateway 和 Edge 不受此漏洞影响。
评分采用 CVSS 3.1；Arista 同时给出的 CVSS 4.0 评分为 9.4。受害者数量及攻击起始时间未公开。安装补丁不能证明已被入侵的主机恢复干净。保留厂商的四段版本号，不提供交互式版本检查器。
10月23日更新： CISA 将该 CVE 加入已知遭利用漏洞目录，修复期限为 10月26日，并标记需要取证分诊。联邦机构的要求与厂商面向所有运营者的尽快修补建议应区分。这进一步证实此前已确认的攻击，没有提供新的受害者数量。
马桶里有什么
修复版本
| 产品 | 安全版本 | 备注 |
|---|---|---|
| VCO 5.2 | 5.2.3.18 | |
| VCO 6.1 | 6.1.3.10 | |
| VCO 6.4 | 6.4.2.12 |
案发时间线
2026年10月22日
Arista 披露在野利用及修复版本
2026年10月23日
CISA 将漏洞加入 KEV
条目标记需要取证分诊，并将联邦机构修复期限设为 10月26日。
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- Arista 第 0199 号安全公告一手来源
- CISA 10月23日 KEV 目录一手来源CVE-2026-114625 于 10月23日加入，期限为 10月26日，标记需要取证分诊