有分公司網路的企業注意：VeloCloud SD-WAN 管理平台漏洞已遭利用，唯讀帳號就能冒充超級管理者，7 月以來第三個漏洞列入 CISA 清單
趨勢新聞2026 年 10 月 28 日
總公司要和分公司、門市、工廠連成一張網，常用做法之一是 SD-WAN（軟體定義廣域網路：用軟體集中管理各據點之間的連線，依政策挑選合適的網路路徑）。Arista 的 VeloCloud 是其中一個品牌，總控台叫 VeloCloud Orchestrator（VCO），是各據點網路設備共用的網頁後台。Arista 10 月 22 日的安全公告 0199 說，VCO 有 SQL 注入漏洞 CVE-2026-114625（CVE 是全球通用的漏洞編號），「已知正遭積極利用」（本站譯）：在受影響版本上，攻擊者只要能連到網頁介面並登入，最低用唯讀角色，就能冒充平台的「superuser operator」（超級管理者）。美國網路安全暨基礎設施安全局（CISA）隔天把它列入已遭利用漏洞清單，這是 VCO 自 7 月以來第三個上榜的漏洞。Arista 託管版已修好；公司或廠商自行部署的自建版，受影響的要依版本線升到 5.2.3.18、6.1.3.10、6.4.2.12 或之後的版本。
我會不會受影響？
- 公司沒有用 VeloCloud：不必為這個漏洞修補。它不是 WordPress、一般網站或路由器軟體本身的漏洞；不確定品牌，就問建網路的電信商或廠商「SD-WAN 是不是 VeloCloud」。
- 有用 VeloCloud，管理平台是 Arista 託管（Hosted，含 Dedicated 專屬部署）：公告寫已完成修補，不用自己升級；修補前有沒有被入侵，公告沒說。
- 自建（公司或受託廠商自行部署維護，公告稱 on-prem）：看版本。5.2.x 低於 5.2.3.18、6.1.x 低於 6.1.3.10、6.4.x 低於 6.4.2.12 都受影響。
- 電信商或廠商代管、不知道是哪一種：請對方回報 VCO 是託管還是自建、版本號、修補狀態，以及依公告檢查日誌的結果。
各據點的 Edge 設備與 VeloCloud Gateway 列為不受影響，出問題的是管它們的 VCO；但 7 月、9 月的公告寫過，VCO 被入侵可能波及 Edge。
為什麼「唯讀帳號」也危險
SQL 注入是程式把攻擊者輸入的內容誤當成資料庫指令的一部分。公告寫，受影響系統上任何已登入的使用者都能取得 operator 權限，存取「只供內部使用、不打算讓外部存取」的功能，影響 VCO 主機和它管理的資料。最低只要 Enterprise Read Only，公告稱之為「權限最低的內建租戶角色」。本站的讀法：「租戶」可理解為一家企業客戶在平台裡的管理範圍，operator 是平台營運端的角色，superuser operator 權限最完整；多家客戶共用同一套受影響的 VCO 時，任一家的唯讀帳號都可能成為危及整個平台的入口。
前兩次不一樣。7 月 27 日的公告 0144（CVE-2026-16812，作業系統指令注入：程式把攻擊者的輸入當成系統指令執行）與 9 月 22 日的 0183（CVE-2026-93952，輸入驗證不當）都不需要帳號，各有其他利用條件；後者本站 9 月在 Check Point 兩個漏洞列入 KEV 報過。這次要先登入（能連到網頁介面、持有有效的登入工作階段），但 0199 寫受影響版本預設就有這個曝險，「沒有任何設定能避免」（本站譯）。
CVSS 是漏洞嚴重程度評分（0 到 10 分），Arista 給的基礎分數，CVSS 3.1 是 9.9、4.0 是 9.4。受影響的版本清單沒有 7.0 版本線（9 月的 0183 曾把 7.0.0.2 以下列為受影響）；Arista 寫不在清單上就不受這次影響，但同一份公告也註明停止支援的版本未經評估。前兩次的修補版（0183 的 5.2.3.16、6.4.2.8，0144 的 6.1.3.4）都低於這次的門檻，仍受影響。公告上的舊產品名是「VeloCloud Orchestrator by Broadcom」。
誰在攻擊，官方沒說
Arista 列了兩個已觀察到發動攻擊的來源 IP：74.82.197.86 與 38.54.50.151。誰在利用、何時開始、多少台遭攻擊，公告與 CISA 條目都沒寫。公告寫問題由 Arista 偵測到，Arista 提交的 CVE 紀錄發現來源欄則填「EXTERNAL」（外部）；公開資料沒有說明兩項記載的關係。
怎麼處理：升級、封 IP、先保全紀錄
Arista 建議升到修補版；不在支援版本線上的，找 Arista 技術支援中心（TAC）討論升級路徑。升級前，公告列了六項防護：網頁介面只開給受信任的管理網段；監看來自已知惡意 IP 的存取；監看主機的異常對外連線；考慮封鎖用不到的對外連接埠；監看有沒有後門程式與 webshell（攻擊者放進網頁伺服器、可遠端下指令的程式）；檢查近期管理者操作有無異常變更。
查入侵跡象，公告建議看網頁存取日誌有沒有不尋常的類網址路徑片段、編碼字元、指向本機或內部服務的請求，以及請求頻率異常的來源；封鎖上面兩個 IP，並回查日誌。懷疑遭入侵，營運上可行的話，處置前先保全網頁存取、後端應用程式、系統與資料庫日誌，以及相關檔案的時間戳記。本站 10 月 28 日讀到的 0199 沒有「修補後處置」一節；0144 與 0183 有，建議依事件應變程序處理，可能包括輪替帳密等認證資料（credential rotation）、檢查管理者活動、驗證受管理設備的狀態，以及從可信來源還原或重建 orchestrator。本站的讀法：查到入侵跡象的，這幾步也值得照做。
公告附的 CSAF 檔（供工具自動讀取的標準化公告格式，10 月 22 日 02:24 UTC 建立），本站 10 月 28 日讀到的版本只列 5.2.3.10 為未修補，沒有列出三個修補版本。本站的讀法：這份檔案的修補資訊不完整，自動比對版本的以公告網頁與 CVE 紀錄為準。
美國政府的期限，台灣企業要不要管
KEV（已遭利用漏洞目錄）是 CISA 列管已有實際遭利用證據的漏洞清單。期限依約束性作業指令 BOD 26-04 訂定，只約束美國聯邦文職行政部門機關，台灣企業不受拘束；本案原廠也明言正遭積極利用。這筆 10 月 23 日星期五列入、10 月 26 日星期一到期，發稿時已過；鑑識初判欄標「是」，意思是修補之外還要保全證據、初步分析是否遭入侵；勒索軟體欄寫「未知」。CISA 在 CVE 紀錄裡的評估（10 月 22 日）是已有主動利用、攻擊所需步驟無法可靠地全部自動化、技術影響「完全」。BOD 26-04 的「3 天加鑑識初判」給技術影響完全、且資產對外開放或攻擊可自動化的 KEV 漏洞；這筆不可自動化，本站的讀法是 3 天對應「對外開放」那列，是否對外開放由各機關認定。條目要求照原廠指示緩解、遵循 BOD 26-04 與鑑識初判規定，雲端服務另依適用指引處理，沒有可用的緩解措施就停用產品。
各家怎麼報
依本站取得的兩篇報導摘要，SecurityOnline 10 月 22 日的〈Arista Warns VeloCloud Orchestrator Flaw CVE-2026-114625 Is Exploited in the Wild〉寫 CVSS 9.9，Security Affairs 10 月 24 日的〈U.S. CISA adds Arista VeloCloud Orchestrator flaw to its Known Exploited Vulnerabilities catalog〉寫 9.4，兩者都是 Arista 給的分數，分屬 CVSS 3.1 與 4.0。Security Affairs 寫聯邦機關 10 月 26 日的修補期限依據是 BOD 22-01，KEV 條目引用的則是 6 月取代它的 BOD 26-04。