Arista 已发布安全公告，针对其 VeloCloud Orchestrator 中发现的严重漏洞 CVE-2026-114625。攻击者正在积极利用此漏洞，其 CVSS 评分为 9.9。该漏洞允许仅拥有只读账户的用户获取完整的操作员级权限。这是由于精心构造的 SQL 查询可操纵后端请求数据所致。利用该漏洞需要访问 VCO Web 界面的网络权限以及有效的登录凭证。这是自 7 月以来 Arista 报告的第三个被利用的 VeloCloud Orchestrator 漏洞，但这是首个需要身份验证的漏洞。影响极为严重，因为操作员账户控制着由租户管理的所有客户整个 SD-WAN fabric。该缺陷还可能危及 VCO 主机本身。针对发布列车 5.2、6.1 和 6.4 的特定修复版本已可用，托管式和专用式编排器均已打补丁。处于不受支持发布列车的客户应联系 Arista 获取升级选项。临时控制措施包括限制 Web 界面访问并监控可疑活动。Arista 已识别出两个用于攻击的 IP 地址，并建议客户将其阻止并在日志中搜索相关活动。