# Arista แพตช์ CVE-2026-114625 ช่องโหว่ VeloCloud Orchestrator ที่ถูกโจมตีจริงแล้ว

> CVE-2026-114625 ช่องโหว่ SQL injection คะแนน 9.9 ใน VeloCloud Orchestrator แบบติดตั้งเองถูกโจมตีจริงแล้ว Arista ให้อัปเกรดเป็น 5.2.3.18, 6.1.3.10 หรือ 6.4.2.12

- ประเภท: ข่าว · หมวด: Networking
- เผยแพร่: 2026-10-22T18:47:00.000Z · อัปเดต: 2026-10-22T18:47:00.000Z
- โดย: กองบรรณาธิการ THAI DATA, THAI DATA IT BUSINESS ENTERPRISE
- ที่มา: https://thaidata.co.th/network/arista-velocloud-orchestrator-cve-2026-114625-zero-day/

## สรุปประเด็นสำคัญ

- Arista ออก **Security Advisory 0199** เมื่อ **22 ตุลาคม 2026** แก้ **CVE-2026-114625** ช่องโหว่ SQL injection (CWE-89) ใน VeloCloud Orchestrator (VCO) แบบ on-prem คะแนน **CVSS v3.1 9.9** และ **CVSS v4.0 9.4**
- ผู้ใช้ที่ล็อกอินได้แม้มีบทบาทต่ำสุด **Enterprise Read Only** ก็ยกสิทธิ์เป็น operator และสวมรอยเป็นผู้ใช้ "superuser operator" ได้ Arista ตรวจพบเองและยืนยันว่า **ถูกโจมตีจริงแล้ว**
- รุ่นที่แก้แล้วคือ **5.2.3.18, 6.1.3.10 และ 6.4.2.12** ขึ้นไป ส่วน VCO แบบ Hosted และ Dedicated ได้รับผลกระทบเช่นกันแต่ Arista แพตช์ให้แล้ว
- Arista เผยแพร่ IP ที่พบว่าใช้โจมตี **2 รายการ** และนี่เป็นช่องโหว่ VCO ตัวที่สามในปี 2026 ที่ Arista ระบุว่าถูกโจมตีจริง ต่อจาก CVE-2026-16812 (**27 ก.ค.**) และ CVE-2026-93952 (**22 ก.ย.**)

Arista ออกประกาศ [Security Advisory 0199](https://www.arista.com/en/support/advisories-notices/security-advisory/24838-security-advisory-0199) เมื่อวันที่ 22 ตุลาคม 2026 แก้ช่องโหว่ CVE-2026-114625 คะแนน CVSS v3.1 9.9 ใน VeloCloud Orchestrator (VCO) แบบติดตั้งเอง ซึ่งบริษัทยืนยันว่าถูกโจมตีจริงแล้ว ผู้ใช้ที่ล็อกอินได้แม้มีสิทธิ์แค่อ่านอย่างเดียวก็ยกตัวเองเป็น operator ได้ องค์กรต้องอัปเกรดเป็น 5.2.3.18, 6.1.3.10 หรือ 6.4.2.12

VCO คือพอร์ทัลกลางของ VeloCloud SD-WAN ที่[คู่มือผู้ดูแลของ Arista](https://www.arista.com/en/admin-guide-vc-7-0/sd-wan-7-0-overview)อธิบายว่าใช้ตั้งค่าและติดตามการทำงานของเครือข่ายทั้งองค์กรแบบเรียลไทม์ และควบคุมการไหลของข้อมูลบนเครือข่าย SD-WAN VCO จึงเป็นจุดที่ดูแลเครือข่ายของทุกสาขาไว้ในที่เดียว CVE-2026-114625 เป็นช่องโหว่ VCO ตัวที่สามในปี 2026 ที่ Arista ระบุว่าถูกโจมตีจริง ต่อจากรอบเดือนกรกฎาคมและกันยายน

## CVE-2026-114625 คือช่องโหว่อะไร

ประกาศ 0199 จัดช่องโหว่นี้อยู่ในกลุ่ม CWE-89 หรือ SQL injection ผลคือผู้ใช้ที่ยืนยันตัวตนแล้วคนใดก็ได้ยกสิทธิ์ของตัวเองเป็น operator และสวมรอยเป็นผู้ใช้ภายในชื่อ "superuser operator" ซึ่งเปิดทางไปยังฟังก์ชันที่ออกแบบไว้ใช้ภายในเครื่องเท่านั้น Arista เตือนว่าการโจมตีที่สำเร็จอาจกระทบทั้งความลับ ความถูกต้อง และความพร้อมใช้งานของ VCO และข้อมูลที่ VCO ดูแลอยู่

เงื่อนไขของ CVE-2026-114625 ต่างจากสองรอบก่อนตรงที่ผู้โจมตีต้องมี session ที่ล็อกอินแล้ว แต่ Arista ระบุว่าบทบาทขั้นต่ำคือ Enterprise Read Only ซึ่งเป็นบทบาทในตัวที่ต่ำที่สุดของผู้เช่า (tenant) บัญชีอ่านอย่างเดียวที่องค์กรแจกให้ทีมสาขา ผู้ให้บริการภายนอก หรือฝ่ายตรวจสอบ จึงกลายเป็นจุดเริ่มต้นได้ทั้งหมด Arista ยังระบุว่า VCO อยู่ในสภาพเสี่ยงโดยค่าเริ่มต้น และไม่มีการตั้งค่าใดป้องกันได้

| ประเด็น | รายละเอียดของ CVE-2026-114625 |
| --- | --- |
| ประกาศของผู้ผลิต | Arista Security Advisory 0199 ออก 22 ตุลาคม 2026 (revision 1.0) |
| ผลิตภัณฑ์ | VeloCloud Orchestrator On-Prem (ชื่อเดิม VeloCloud Orchestrator by Broadcom) |
| คะแนน | CVSS v3.1 9.9 และ CVSS v4.0 9.4 |
| ประเภท | CWE-89 SQL Injection |
| เงื่อนไข | เข้าถึงหน้าเว็บ VCO ได้และมี session ที่ล็อกอินแล้ว บทบาทขั้นต่ำ Enterprise Read Only |
| สถานะการโจมตี | Arista ตรวจพบเองและยืนยันว่าถูกโจมตีจริง |
| ไม่ได้รับผลกระทบ | VeloCloud Edge, VeloCloud Gateway และผลิตภัณฑ์ EOS ของ Arista |

## VeloCloud Orchestrator รุ่นใดต้องอัปเกรด

Arista ระบุรุ่นที่ได้รับผลกระทบจาก CVE-2026-114625 ไว้สามสาย และบอกว่ารุ่นที่ไม่อยู่ในรายการถือว่าไม่ได้รับผลกระทบ ยกเว้นรุ่นที่หมดซัพพอร์ตแล้วซึ่งบริษัทยังไม่ได้ประเมิน

| สาย VCO | รุ่นที่ได้รับผลกระทบ | รุ่นที่แก้แล้ว |
| --- | --- | --- |
| 5.2.x | ก่อน 5.2.3.18 | 5.2.3.18 ขึ้นไป |
| 6.1.x | ก่อน 6.1.3.10 | 6.1.3.10 ขึ้นไป |
| 6.4.x | ก่อน 6.4.2.12 | 6.4.2.12 ขึ้นไป |
| Hosted และ Dedicated | ได้รับผลกระทบ | Arista แพตช์ให้แล้ว |
| รุ่นที่หมดซัพพอร์ต | ยังไม่ได้ประเมิน | ติดต่อ Arista TAC เพื่อหาทางอัปเกรด |

![รายการรุ่น VCO ที่ได้รับผลกระทบในประกาศ 0199: สาย 5.2.x ก่อน 5.2.3.18 สาย 6.1.x ก่อน 6.1.3.10 และสาย 6.4.x ก่อน 6.4.2.12](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/arista-velocloud-orchestrator-cve-2026-114625-zero-day/arista-0199-vco-affected-list.webp?v=81f107bd) _(ภาพ: Arista Networks (ภาพหน้าจอ))_

## ร่องรอยการโจมตีที่ Arista ให้ตรวจ

ประกาศ 0199 ให้ผู้ดูแลตรวจ web access log ของ VCO หาคำขอที่มี path หน้าตาคล้าย URL ผิดปกติ มีอักขระที่ถูกเข้ารหัส อ้างถึงบริการภายในเครื่องหรือภายในเครือข่าย หรือมีอัตราคำขอสูงผิดปกติ และเผยแพร่ IP ที่พบว่าใช้โจมตี 2 รายการให้บล็อกและค้นย้อนหลัง

- 74.82.197.86
- 38.54.50.151

ถ้าสงสัยว่าถูกเจาะ Arista ให้เก็บ web access log, backend application log, system log, database log และ timestamp ของไฟล์ที่เกี่ยวข้องไว้ก่อนแก้ไขระบบเท่าที่ทำได้ ระหว่างที่ยังอัปเกรดไม่ได้ ให้จำกัดการเข้าหน้าเว็บ VCO เฉพาะเครือข่ายผู้ดูแล เฝ้าดูการเชื่อมต่อขาออกที่ผิดปกติจากเครื่อง VCO พิจารณาบล็อกพอร์ตขาออกที่ไม่จำเป็น เฝ้าระวัง webshell และ daemon แปลกปลอม และทบทวนการเปลี่ยนแปลงล่าสุดของผู้ดูแล

![ส่วนเงื่อนไขการโจมตีและค่าบ่งชี้การถูกเจาะในประกาศ 0199 ระบุบทบาทขั้นต่ำ Enterprise Read Only และ IP ที่ใช้โจมตี 2 รายการ](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/arista-velocloud-orchestrator-cve-2026-114625-zero-day/arista-0199-vco-indicators.webp?v=337e00b8) _(ภาพ: Arista Networks (ภาพหน้าจอ))_

## ช่องโหว่ VCO ตัวที่สามของปีที่ถูกโจมตีจริง

ปี 2026 Arista ออกประกาศช่องโหว่ VCO ที่ระบุว่าถูกโจมตีจริงมาแล้วสองครั้งก่อนหน้า CVE-2026-114625 และ CISA เพิ่มทั้งสองตัวเข้าแค็ตตาล็อก Known Exploited Vulnerabilities (KEV) ในวันที่ประกาศ

| ประกาศ | วันที่ | CVE | CVSS v3.1 / v4.0 | ประเภท | ต้องล็อกอินหรือไม่ | CISA KEV |
| --- | --- | --- | --- | --- | --- | --- |
| [0144](https://www.arista.com/en/support/advisories-notices/security-advisory/24364-security-advisory-0144) | 27 ก.ค. 2026 | CVE-2026-16812 | 10.0 / 10.0 | OS command injection (CWE-78) | ไม่ต้อง | เพิ่ม 27 ก.ค. กำหนดแก้ 30 ก.ค. |
| [0183](https://www.arista.com/en/support/advisories-notices/security-advisory/24765-security-advisory-0183) | 22 ก.ย. 2026 | CVE-2026-93952 | 10.0 / 9.5 | Improper input validation (CWE-20) | ไม่ต้อง (เมื่อเปิดใช้การยืนยันตัวตนด้วยใบรับรองจาก Edge) | เพิ่ม 22 ก.ย. กำหนดแก้ 25 ก.ย. |
| [0199](https://www.arista.com/en/support/advisories-notices/security-advisory/24838-security-advisory-0199) | 22 ต.ค. 2026 | CVE-2026-114625 | 9.9 / 9.4 | SQL injection (CWE-89) | ต้อง บทบาทต่ำสุด Enterprise Read Only | ยังไม่อยู่ในแค็ตตาล็อกฉบับ 2026.10.21 |

ณ เช้าวันที่ 23 ตุลาคม 2026 เวลาไทย แค็ตตาล็อก KEV ฉบับล่าสุด (2026.10.21) ยังไม่มี CVE-2026-114625 สองรอบก่อน Arista ระบุว่ามีผู้ค้นพบจากภายนอก ส่วนรอบนี้ Arista ตรวจพบเอง ประกาศ 0183 ฉบับปรับปรุง 23 กันยายนยังระบุรุ่นแก้ไขไว้เพียงสาย 5.2.3 (5.2.3.16) และสาย 6.4.2 (6.4.2.8) และบอกว่ารุ่นของสายอื่นจะทยอยเพิ่ม ประกาศเดียวกันยังเตือนว่าการยึด VCO ได้อาจเปิดทางให้ผู้โจมตีเข้าถึงอุปกรณ์ VeloCloud Edge ด้วย

![สรุปช่องโหว่ VeloCloud Orchestrator ที่ Arista ระบุว่าถูกโจมตีจริงในปี 2026 สามรายการ ตั้งแต่ CVE-2026-16812 ถึง CVE-2026-114625](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/arista-velocloud-orchestrator-cve-2026-114625-zero-day/velocloud-vco-exploited-2026-chart.webp?v=b701f714) _(ภาพ: THAI DATA (ข้อมูล: Arista Networks, CISA))_

## ทำไมเรื่องนี้สำคัญ

ระบบจัดการกลางอย่าง VCO ดูแลคอนฟิกของทุกสาขาไว้ในที่เดียว ช่องโหว่ที่ถูกโจมตีจริงสามตัวตั้งแต่ปลายเดือนกรกฎาคมทำให้ VCO ที่ไม่ได้อัปเกรดตามรอบเสี่ยงสูงขึ้นทุกครั้งที่มีประกาศใหม่ และ CVE-2026-114625 ยังแสดงว่าบัญชีสิทธิ์อ่านอย่างเดียวที่หลายองค์กรมองว่าไม่อันตรายก็ใช้เป็นจุดเริ่มต้นได้ องค์กรมีเวลาแพตช์น้อยแค่ไหนหลังช่องโหว่ถูกเปิดเผย อ่านต่อได้ใน[บทวิเคราะห์ช่องโหว่ถูกโจมตีเฉลี่ยใน 3 วัน](/security/vulnerability-exploited-within-3-days-patch-cycle/)

## สิ่งที่องค์กรไทยควรทำ

- **ตรวจว่าใช้ VCO แบบติดตั้งเองหรือไม่** รวมถึง VCO ที่ผู้ให้บริการเครือข่ายหรือ MSP ติดตั้งไว้ดูแล SD-WAN ให้องค์กร แล้วเทียบรุ่นกับตารางข้างบน อัปเกรดเป็น 5.2.3.18, 6.1.3.10 หรือ 6.4.2.12 ขึ้นไปทันที
- **ไล่ตรวจทั้งสามประกาศ ไม่ใช่แค่รอบล่าสุด** เพราะแต่ละรอบระบุรุ่นแก้ไขต่างกัน VCO ที่ไม่ได้อัปเกรดตั้งแต่เดือนกรกฎาคมอาจเปิดช่องโหว่ทั้งสามตัวพร้อมกัน
- **ปิดหน้าเว็บ VCO จากอินเทอร์เน็ต** ให้เข้าได้เฉพาะเครือข่ายผู้ดูแลหรือผ่าน VPN ที่มี MFA เพราะ Arista ระบุว่าไม่มีการตั้งค่าใดป้องกันช่องโหว่นี้ได้
- **ทบทวนบัญชีผู้ใช้ทุกระดับ** ลบบัญชี Enterprise Read Only ที่ไม่ใช้แล้ว โดยเฉพาะบัญชีของผู้รับเหมาหรือพนักงานที่ลาออก และตรวจว่ามีบัญชีใดถูกยกสิทธิ์โดยไม่มีคำขอ
- **ล่าหาร่องรอยก่อนแก้ระบบ** ค้น IP 74.82.197.86 และ 38.54.50.151 ใน log ไฟร์วอลล์และ web log ของ VCO เก็บ log ไว้ก่อนอัปเกรด และถ้าพบร่องรอยให้ติดต่อ Arista TAC ติดตามข่าวช่องโหว่อุปกรณ์เครือข่ายอื่น ๆ ได้ที่[หมวด Network](/network/)

## คำถามที่พบบ่อย

### CVE-2026-114625 คืออะไร?

CVE-2026-114625 คือช่องโหว่ SQL injection ใน Arista VeloCloud Orchestrator (VCO) แบบติดตั้งเอง ที่ทำให้ผู้ใช้ที่ล็อกอินได้แม้สิทธิ์ต่ำสุดยกตัวเองเป็น operator และเข้าถึงฟังก์ชันภายในที่ไม่ควรเปิดจากภายนอก Arista ให้คะแนน CVSS v3.1 9.9 และประกาศแพตช์เมื่อ 22 ตุลาคม 2026

### VeloCloud Orchestrator รุ่นใดได้รับผลกระทบจาก CVE-2026-114625 และต้องอัปเกรดเป็นรุ่นใด?

CVE-2026-114625 กระทบ VCO สาย 5.2.x ก่อน 5.2.3.18 สาย 6.1.x ก่อน 6.1.3.10 และสาย 6.4.x ก่อน 6.4.2.12 ต้องอัปเกรดเป็น 5.2.3.18, 6.1.3.10 หรือ 6.4.2.12 ขึ้นไปตามสายที่ใช้ รุ่นที่หมดซัพพอร์ตแล้ว Arista ยังไม่ได้ประเมินและให้ติดต่อ TAC

### CVE-2026-114625 ถูกโจมตีจริงแล้วหรือยัง?

CVE-2026-114625 ถูกโจมตีแล้ว Arista ระบุในประกาศ Security Advisory 0199 ว่าตรวจพบช่องโหว่นี้เองและรู้ว่ามีการโจมตีจริงอยู่ พร้อมเผยแพร่ IP ที่พบว่าใช้โจมตี 2 รายการคือ 74.82.197.86 และ 38.54.50.151 ให้ผู้ดูแลบล็อกและค้นใน log

### ใช้ VeloCloud SD-WAN แบบ Hosted ต้องทำอะไรเกี่ยวกับ CVE-2026-114625 หรือไม่?

Arista ระบุว่า VCO แบบ Hosted รวมถึง Dedicated ได้รับผลกระทบจาก CVE-2026-114625 แต่แพตช์ให้แล้ว ลูกค้ากลุ่มนี้ไม่ต้องอัปเกรดเอง แต่ควรสอบถามผู้ให้บริการหรือทีมดูแลบัญชีว่าตรวจพบความผิดปกติในบัญชีของตนหรือไม่ และทบทวนรายชื่อผู้ใช้ที่มีสิทธิ์ล็อกอิน

### ถ้ายังอัปเกรด VCO ไม่ได้ทันที ควรลดความเสี่ยงอย่างไร?

Arista แนะนำให้จำกัดการเข้าหน้าเว็บ VCO เฉพาะเครือข่ายผู้ดูแลที่เชื่อถือได้ เฝ้าดูการเชื่อมต่อจาก IP ที่ประกาศและการเชื่อมต่อขาออกที่ผิดปกติจากเครื่อง VCO พิจารณาบล็อกพอร์ตขาออกที่ไม่จำเป็น เฝ้าระวัง webshell และ daemon แปลกปลอม และทบทวนการเปลี่ยนแปลงของผู้ดูแลล่าสุด


## แหล่งอ้างอิง

- [Security Advisory 0199](https://www.arista.com/en/support/advisories-notices/security-advisory/24838-security-advisory-0199) — Arista Networks
- [Arista patches new VeloCloud Orchestrator zero-day exploited in attacks](https://www.bleepingcomputer.com/news/security/arista-patches-new-velocloud-orchestrator-zero-day-exploited-in-attacks/) — BleepingComputer
- [CVE-2026-93952 Detail](https://nvd.nist.gov/vuln/detail/CVE-2026-93952) — NIST National Vulnerability Database
- [CVE-2026-16812 Detail](https://nvd.nist.gov/vuln/detail/CVE-2026-16812) — NIST National Vulnerability Database
- [Known Exploited Vulnerabilities Catalog](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA