企業の多拠点ネットワークをまとめて管理する製品「VeloCloud Orchestrator」に、攻撃が確認された脆弱性が見つかった。開発元のAristaは、修正済みの欠陥を悪用した攻撃を確認している。クラウドで提供されるホスト型はすでに修正済みだ。自社サーバーで動かすオンプレミス版は、利用者が自分で修正版に更新する必要がある。
この製品は、本社や支店、工場など離れた拠点をつなぐネットワークの設定を、1か所から一括で操作する。いわば企業ネットワークの司令塔だ。ここを乗っ取られれば、影響は1拠点で済まない。
攻撃確認、低権限から管理者に昇格
JPCERT/CCの報告内容
JPCERT/CC（日本の情報セキュリティ対応を担う組織）は2026年10月28日付の週次レポートで、この脆弱性を紹介した。対象は10月18日から24日にかけての情報だ。
問題の種類は「SQLインジェクション」。データベースに不正な命令を送り込む手法を指す。
ポイントは、Aristaが「悪用された」と認めていることだ。「悪用される可能性がある」という段階ではない。実際に攻撃が起きている。
一方で、攻撃の規模、狙われた相手、いつ始まったのかは、現時点で明らかになっていない。
読み取り専用から最高権限へ
この脆弱性の怖さは、権限の落差にある。
VeloCloud Orchestratorのアカウントには権限の段階がある。いちばん弱いのは「読み取り専用」で、設定を見ることはできても変更はできない。見学者のような立場だ。
この最も弱いアカウントから、最高権限の管理者になれてしまう。見学だけのはずの人が、いつの間にかビル全体の管理人になれる状態だった。
管理者になれば、全拠点のネットワーク設定を書き換えられる。1か所を取られると全拠点に影響が及ぶという管理基盤の性質が、事態を重くしている。
対象はオンプレミス版、修正版を公開
自分に関係があるかは、使い方で決まる。分かれ目は「Aristaが管理するクラウド版か、自社サーバーで動かしている版か」の一点だ。
| 利用形態 | 現状 | 利用者側の動き |
|---|---|---|
| ホスト型（Aristaが運用するクラウド版） | すでに修正済み | Aristaの情報を確認する |
| オンプレミス版（自社サーバーで運用） | 修正版が公開されている | 修正済みバージョンへ更新する |
オンプレミス版は、修正版が出ても自動では直らない。やることは3つだ。
- 利用形態を確認する。自社のVeloCloud Orchestratorが、Aristaの運用するクラウド版か、自社のサーバー上で動かしている版かを確かめる。社内の担当者や導入を担当したベンダーに聞くのが早い。
- オンプレミス版なら更新する。修正済みバージョンへ上げる。攻撃がすでに確認されている以上、定期メンテナンスの順番待ちにする理由は乏しい。
- 詳細はAristaの情報で確かめる。脆弱性の識別番号（CVE番号）や対象バージョン、更新手順などの詳細は、開発元であるAristaのセキュリティアドバイザリ（公式の注意喚起）で確認する。JPCERT/CCのレポートには記載がなく、本記事では確認できた事実だけを書いた。作業の前に、必ず一次情報で確認してほしい。
ホスト型の利用者も、修正済みという案内以外に必要な対応がないか、Aristaの案内で確かめておきたい。
同じ製品で今年4件目との報道
今回の件は、単発の出来事ではない可能性がある。英国のITニュースサイトServnet UKは、VeloCloud Orchestratorで2026年に悪用が確認された脆弱性が、5月、7月、9月に続いて今回が4件目になると報じている。
ただし、この件数はJPCERT/CCのレポートにも、Aristaのアドバイザリにも書かれていない。1つの媒体による報道で、本記事では裏付けを取れていない。現時点では、参考情報として受け止めておきたい。
もし件数が事実なら、同じ製品が繰り返し狙われていることになる。全拠点の設定を握る管理基盤は、攻撃する側にとって狙う価値のある標的ではある。
オンプレミス版の担当者にとっては、今回の更新で終わりとは限らない。Aristaの発表を、今後も定期的に確認しておく必要がある。
