สรุปสั้น
บริษัท Arista Networks ออกประกาศเมื่อวันที่ 22 ตุลาคม 2569 เตือนว่าผู้โจมตีกำลังใช้ช่องโหว่ zero-day ประเภท SQL injection ใน VeloCloud Orchestrator (VCO) ซึ่งเป็นระบบจัดการกลางของเครือข่าย VeloCloud SD-WAN ช่องโหว่ CVE-2026-114625 มีคะแนน CVSS 9.9 เปิดให้ใครก็ตามที่ล็อกอินเข้า orchestrator ได้ แม้เป็นบัญชีลูกค้าระดับ Enterprise Read Only ซึ่งเป็นสิทธิ์ต่ำสุด ยกสิทธิ์ตัวเองเป็น operator ซึ่งเป็นระดับควบคุมสูงสุดของระบบ และอาจกระทบถึงเครื่อง VCO เอง ทำให้ข้อมูลที่ orchestrator ดูแลรั่ว ถูกแก้ หรือหยุดทำงานได้
แพตช์สำหรับ orchestrator ที่ติดตั้งเองอยู่ใน VCO 5.2.3.18, 6.1.3.10 และ 6.4.2.12 ส่วนแบบ Hosted และ Dedicated ได้รับการแก้แล้ว จุดที่ต้องระวังคือ orchestrator ที่อัปเดตเพื่อแก้ช่องโหว่เดือนกรกฎาคมและกันยายนไปแล้วก็ยังกระทบ เพราะเวอร์ชันเหล่านั้นเก่ากว่าแพตช์ใหม่ นี่เป็นช่องโหว่ VCO ตัวที่ 3 ที่ Arista รายงานว่าถูกโจมตีจริงตั้งแต่ปลายเดือนกรกฎาคม และเป็นตัวแรกในสามตัวที่ต้องล็อกอินก่อน Arista พบ IP ที่ใช้โจมตี 2 รายการ แต่ไม่ระบุว่าการโจมตีเริ่มเมื่อไร orchestrator ใดถูกเจาะ หรือผู้โจมตีทำอะไรต่อ
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 23 ตุลาคม 2569 ว่า Arista เตือนช่องโหว่ SQL injection ระดับวิกฤตใน VeloCloud Orchestrator ที่ถูกใช้โจมตีจริงแล้ว
Arista ซื้อสายผลิตภัณฑ์ VeloCloud SD-WAN จากบริษัท Broadcom โดยประกาศดีลในเดือนกรกฎาคม 2568 ผลิตภัณฑ์นี้เดิมรู้จักในชื่อ VMware SD-WAN by VeloCloud ใน VCO นั้น operator เป็นผู้สร้างบัญชีลูกค้าและพาร์ตเนอร์ และพาร์ตเนอร์แต่ละรายจัดการกลุ่มลูกค้าของตัวเองได้ ช่องโหว่นี้ทำให้ผู้โจมตีทำตัวเป็น local superuser ที่มีสิทธิ์เต็มทั้งระบบ
ช่องโหว่ 2 ตัวก่อนหน้าคือ CVE-2026-16812 ของเดือนกรกฎาคม (โพสต์ 07/291) และ CVE-2026-93952 ของเดือนกันยายน ซึ่งทั้งคู่ใช้ได้โดยไม่ต้องล็อกอิน ณ วันที่ 22 ตุลาคม ช่องโหว่เดือนกันยายนแก้แล้วเฉพาะสาย 5.2 และ 6.4 ส่วนสาย 6.1 ยังกระทบถึงเวอร์ชัน 6.1.3.7 และยังไม่มีเวอร์ชันแก้ไข ประกาศทั้งสองฉบับไม่ได้บอกว่า 6.1.3.10 แก้ช่องโหว่เดือนกันยายนด้วยหรือไม่
สำหรับช่องโหว่เดือนกรกฎาคมและกันยายน Arista เคยเตือนว่า orchestrator ที่ถูกเจาะอาจเปิดทางให้ผู้โจมตีเข้าถึงอุปกรณ์ VeloCloud Edge ได้ด้วย แต่สำหรับช่องโหว่ใหม่นี้ ประกาศไม่ได้บอกว่าความเสี่ยงนี้ใช้ด้วยหรือไม่ และไม่ได้บอกว่าการอัปเกรดจะตัดการเข้าถึงที่ผู้โจมตีได้ไปแล้วหรือไม่
รายละเอียดช่องโหว่
การโจมตีต้องมี 2 เงื่อนไข คือเข้าถึงหน้าเว็บของ orchestrator ทางเครือข่ายได้ และมีบัญชีล็อกอินที่ใช้ได้ บทบาทต่ำสุดที่ใช้โจมตีได้คือ Enterprise Read Only ซึ่งเป็นบทบาทพื้นฐานต่ำสุดของผู้ใช้ฝั่งลูกค้า ปัญหาคือ VCO เปิดสู่เครือข่ายเป็นค่าเริ่มต้น และไม่มีการตั้งค่าใดใน VCO ที่ปิดการเปิดเผยนี้ได้ ผู้ให้บริการที่มีลูกค้าหลายรายบน orchestrator เดียวจึงเสี่ยงสูง เพราะบัญชีลูกค้ารายใดรายหนึ่งที่หลุดหรือลูกค้าที่ไม่หวังดีก็กลายเป็นทางยึดทั้งระบบได้
เวอร์ชันที่กระทบและเวอร์ชันแก้ไข
| สายเวอร์ชัน | กระทบ CVE-2026-114625 | แก้ไขใน | CVE-2026-93952 (กันยายน) แก้ไขใน |
|---|---|---|---|
| 5.2 | ก่อน 5.2.3.18 | 5.2.3.18 ขึ้นไป | 5.2.3.16 |
| 6.1 | ก่อน 6.1.3.10 | 6.1.3.10 ขึ้นไป | ยังไม่มีเวอร์ชันแก้ไข |
| 6.4 | ก่อน 6.4.2.12 | 6.4.2.12 ขึ้นไป | 6.4.2.8 |
VeloCloud Gateway และ VeloCloud Edge ไม่กระทบ สาย 7.0 ไม่อยู่ในรายการ และ Arista ระบุว่าเวอร์ชันที่ไม่อยู่ในรายการถือว่าไม่มีช่องโหว่ แต่ Arista ไม่ได้ตรวจเวอร์ชันที่หมดระยะสนับสนุนแล้ว ลูกค้าที่ใช้สายเวอร์ชันเหล่านั้นต้องติดต่อศูนย์ช่วยเหลือทางเทคนิค (TAC) เพื่อหาทางอัปเกรด
ผลกระทบ
VCO เป็นศูนย์ควบคุมของเครือข่าย SD-WAN ทั้งหมด ผู้ที่ยึด orchestrator ได้จะควบคุมนโยบายเครือข่าย การกำหนดเส้นทาง และการตั้งค่าของสาขาที่เชื่อมต่ออยู่ทั้งหมด กลุ่มที่เสี่ยงที่สุดคือผู้ให้บริการเครือข่ายและ MSP ที่ให้บริการ SD-WAN แก่ลูกค้าหลายรายบน orchestrator เดียว เพราะบัญชีอ่านอย่างเดียวของลูกค้ารายเดียวกลายเป็นทางยกสิทธิ์ข้ามไปควบคุมลูกค้ารายอื่นทั้งหมดได้
การถูกโจมตีจริง 3 ครั้งในราว 3 เดือนชี้ว่ามีผู้โจมตีที่ตั้งใจศึกษา VCO อย่างต่อเนื่อง และความสับสนเรื่องแพตช์ทำให้ความเสี่ยงสูงขึ้น ผู้ดูแลที่เพิ่งอัปเดตเพื่อแก้ช่องโหว่เดือนกันยายนอาจเข้าใจผิดว่าปลอดภัยแล้ว ขณะที่สาย 6.1 ยังไม่มีแพตช์สำหรับช่องโหว่เดือนกันยายนที่ไม่ต้องล็อกอิน
คำแนะนำ
- อัปเกรด VCO ที่ติดตั้งเองเป็น 5.2.3.18, 6.1.3.10 หรือ 6.4.2.12 ตามสายเวอร์ชัน แม้จะเพิ่งอัปเดตเพื่อแก้ช่องโหว่เดือนกรกฎาคมหรือกันยายนไปแล้ว
- ผู้ใช้สาย 6.1 ให้ติดตามประกาศของ Arista เรื่องแพตช์ CVE-2026-93952 และพิจารณาย้ายไปสาย 6.4 ที่มีแพตช์ครบ
- ระหว่างยังอัปเกรดไม่ได้ จำกัดการเข้าถึงหน้าเว็บของ VCO ไว้เฉพาะเครือข่ายผู้ดูแลที่เชื่อถือได้ และพิจารณาบล็อกพอร์ตขาออกที่การทำงานปกติไม่ต้องใช้
- บล็อก IP ที่ใช้โจมตีด้านล่าง และค้นล็อกย้อนหลังหาการเชื่อมต่อจาก IP เหล่านี้
- ตรวจล็อกการเข้าถึงเว็บของ VCO หาคำขอที่มีส่วนของพาธลักษณะคล้าย URL ตัวอักษรที่ถูกเข้ารหัส การอ้างถึงบริการภายในหรือ localhost หรืออัตราคำขอสูงผิดปกติ
- เฝ้าดูกิจกรรมเครือข่ายขาออกที่ผิดปกติจากเครื่อง VCO ตรวจหา daemon แบ็กดอร์และ web shell และทบทวนกิจกรรมของผู้ดูแลระบบล่าสุดหาการเปลี่ยนแปลงที่ไม่คาดคิด
- ทบทวนบัญชีลูกค้าและพาร์ตเนอร์ทั้งหมดบน VCO ลบบัญชีที่ไม่ใช้แล้ว และเปลี่ยนรหัสผ่านบัญชีที่สงสัย
- ถ้าสงสัยว่าถูกเจาะ ให้เก็บหลักฐานก่อนแก้ไขสิ่งใด ได้แก่ ล็อกการเข้าถึงเว็บ ล็อกแอปพลิเคชันฝั่ง backend ล็อกระบบ ล็อกฐานข้อมูล และ timestamp ของระบบไฟล์
Indicators of Compromise (IoCs)
indicator ทั้งหมด defang แล้ว (
[.]) — แปลงกลับเฉพาะในแพลตฟอร์ม threat intelligence ที่ควบคุมได้
| IP | คำอธิบาย |
|---|---|
74[.]82[.]197[.]86 | IP ที่พบว่าใช้โจมตี CVE-2026-114625 |
38[.]54[.]50[.]151 | IP ที่พบว่าใช้โจมตี CVE-2026-114625 |