何が起きたか
CISAは2026-10-23にCVE-2026-114625をKEVに追加し、実際の悪用を確認しました。これはArista VeloCloud OrchestratorのSQLインジェクションであり、リモートの認証済みユーザーがスーパーユーザー/オペレーター特権を取得し、オーケストレーターホストとそのデータを侵害できるようにします。RealGroundとSOCRadarは、この活発な悪用を、資格情報収集とランサムウェアの初期アクセスを供給するエッジ/コントロールプレーンの武器化と位置付けています。
なぜ重要か
ターゲットはAIモデルではなく管理されたSD-WANコントロールプレーンですが、これはKEVが存在するまさにそのクラスです。AIエージェントと自動化がますますアクセスを許可されている管理/コントロールプレーンコンポーネントであり、Mythos後、AI加速された攻撃サイクルにおけるその悪用ウィンドウは手動パッチよりも早く閉じる可能性があります。エージェントワークロードまたはパイプラインから到達可能なオーケストレーターをレビューしてください。
攻撃経路
VeloCloud OrchestratorのSQLインジェクション（CWE-89）で、リモート攻撃者が特権のある内部機能にアクセスし、VCOホストに影響を与えることができます。実際の悪用が確認され、ランサムウェア関連会社に供給する自動スキャン/資格情報収集（k0t）キャンペーンによって武器化されたと報告されています。
影響を受けるシステム
Arista VeloCloud Orchestrator（オンプレミス）
緩和策
ベンダーアドバイザリ（Arista Security Advisory 0199）およびCISA BOD 26-04に従って必要なKEV緩和策を適用し、管理インターフェースの露出を制限し、異常なオペレーター特権使用を監視してください。