Arista VeloCloud Orchestrator 滿分漏洞已遭利用：自架版要升級，託管版已先修好

一句話看懂：Arista 的 SD-WAN 管理中心 VeloCloud Orchestrator（自架版）有個滿分漏洞，讓本來只限內部使用的功能能被遠端存取，而且已經有人在利用；自架版要盡快升級。

先用白話講：VeloCloud Orchestrator 是什麼？

連鎖企業會在各地分店放網路設備，這些設備需要一個總部來統一設定、更新、監控，這個總部就是 Orchestrator（協調器）。VeloCloud 是 Arista 旗下的 SD-WAN 產品，Orchestrator 像總部的遙控中心。

這次的問題是：遙控中心裡有一些功能，原本只該讓內部使用，卻被外面的人碰得到。

發生什麼事

• 漏洞編號：CVE-2026-16812（弱點分類為作業系統指令注入，CWE-78）
• 問題：自架（On-Prem）版的 VCO 讓遠端攻擊者能碰到本應只供內部使用的功能，可能影響 VCO 主機，進而影響機密性、完整性與可用性，包含它所管理的資料
• 是否遭利用：Arista 在漏洞說明中寫明，這個問題由外部發現，已知遭到利用
• 嚴重度：廠商自評 CVSS 3.1 與 4.0 都是 10.0（滿分），CISA 評估為可自動化、技術衝擊「全面」
• CISA：7 月 27 日列入已遭利用漏洞清單，處理期限是 7 月 30 日，並標示需要鑑識分流
• 託管版：Hosted 與 Dedicated 版本已在通知前先行修補

哪些版本受影響？

依 NVD 收錄的資料，自架版有 4 條版本線受影響：

（修補版本欄是依受影響範圍的上限推得，實際升級細節以 Arista 的官方安全公告為準。）

同一天還有什麼？

CISA 同一則警示還列入 Fortinet FortiOS 的 CVE-2025-68686，內容是繞過先前為「符號連結持久化機制」做的修補，遠端未登入者可透過特製的 HTTP 請求取得敏感資訊。官方說明這需要攻擊者已先用其他漏洞，在檔案系統層級入侵過設備，處理期限是 8 月 10 日。

給管理員的因應步驟

1. 確認自己用的是自架版還是託管版；託管版不用處理
2. 自架版先確認版本，升到上表的修補版本以上
3. CISA 的規則是：套修補之前，也要檢查系統是否已被入侵，所以升級後別就此結案，要檢查日誌與異常設定
4. 管理介面能不對外就不要對外，改走 VPN 或限制來源

我的看法

這類「管理中心」產品最危險的地方，在於它握著整個網路的設定。遙控中心一被拿下，底下所有分店的設備等於跟著被接手，影響範圍遠大於單一伺服器。

我會特別留意兩個細節：一是廠商說「功能本來只該供內部使用」，也就是它根本不該被外面連到，除了升級，把管理介面藏到內網後面，也是降低風險的直接做法；二是 CISA 只給了 3 天的期限，通常代表已經看到實際攻擊。如果你有替客戶維運這類設備，這種公告值得優先處理。

名詞小辭典

• SD-WAN：用軟體集中管理多個據點之間網路連線的技術。
• 指令注入：攻擊者讓系統執行自己塞進去的作業系統指令的漏洞。
• KEV 清單：CISA 維護的「已知遭利用漏洞」清單。
• CVSS：替漏洞嚴重度打分的制度，滿分 10 分。

資料來源

• CISA：新增兩項已遭利用漏洞到 KEV 清單（2026-07-27）
• NVD：CVE-2026-16812（內容由 Arista PSIRT 以 CNA 身分提交）