CISA：Arista VeloCloud Orchestrator SQL注入漏洞正遭主动利用

CISA于10月23日确认，本地部署的Arista VeloCloud Orchestrator中一处SQL注入漏洞正在野外遭到利用，并将CVE-2026-114625收录进其已知被利用漏洞目录（KEV），要求美国联邦文职行政部门机构在10月26日前完成修复。三天。即便以近期KEV的标准看，这个时限也很紧，而且目标正是SD-WAN部署的核心：与每个分支通信的管理平面。

这个漏洞和Web本身一样古老。远程攻击者可以向编排器注入SQL，并且按照CISA的描述，能够访问特权内部功能并影响VCO主机。成功利用将威胁编排器及其所管理数据的机密性、完整性和可用性。没有什么奇特的利用链，也没有零点击的花哨手法，就是SQL注入，一种从你们某些分析师出生前就已经开始被淘汰的漏洞。

目前可知的时间线

我以写时间线为业，所以必须坦率地说：这份时间线的空白比条目还多。以下是目前有记录的内容。

1. 日期不明——第0天。攻击者开始利用VeloCloud Orchestrator本地部署中的SQL注入。这一活动何时开始、幕后是谁、最早针对的是谁，公开记录中都没有。CISA的收录确认了利用行为已经发生，但并未给出时间。
2. 10月23日——CISA将CVE-2026-114625加入KEV目录。按照CISA自身的标准，此次收录基于主动利用的证据。这些证据必然存在，但尚未公开分享。
3. 10月26日——联邦修复截止日。根据具有约束力的运营指令BOD 26-04，联邦文职行政部门机构必须在压缩的时间表内修复此类KEV收录漏洞。这意味着大多数补丁团队只剩一个周末。

其余内容（最初发现经过、受害者数量、被发现前的潜伏时长）目前仍是一片空白。当KEV条目在背景信息如此匮乏的情况下出现，通常意味着两种情况之一：证据来自无法披露的来源，或报道仍在拼凑之中。无论哪种，防御方都不应等待完整的故事。KEV收录本身就是这个故事中可以立即行动的部分。

SQL注入在编排器上能带来什么

撇开产品名称，看看所处的位置。VeloCloud Orchestrator是SD-WAN网络的管理平面，掌握着其控制下各边缘节点的配置、策略和可见性。CISA的描述称，利用“可能允许远程攻击者访问特权内部功能并影响VCO主机”，并警告编排器本身及其管理数据的机密性、完整性和可用性都面临风险。

把这一点转化为攻击链。初始访问就是注入本身：远程发起，针对编排器。特权由漏洞直接交出，即访问特权内部功能，无需窃取凭据。此后，攻击者就掌握了决定你的分支如何路由、执行哪些策略、信任什么对象的主机。CISA已发布的内容中并未说明现实中的入侵是否已走到这一步，包括在主机上持久化、通过受管边缘横向移动、篡改下发到下游的配置。但这种架构让这条路径成为可能，这正是管理平面漏洞不断出现在KEV中的原因。

“CISA已将一个新漏洞加入其已知被利用漏洞（KEV）目录，依据是主动利用的证据。”——CISA于10月23日发布的公告。

我们此前在边缘和管理基础设施上已经见过这种模式。当Qilin和Inc勒索软件团伙连续数月利用PAN-OS认证绕过时，教训是相同的：一旦管理网络的设备被攻击者控制，对实际操作而言它就等同于网络本身。没有人把那次行动称为高明，它枯燥、可靠，而且有效。这里也应该预期同样的低成本高效。

BOD 26-04与先打补丁前先排查的难题

这一修复时限的依据，在于该指令的框架。CISA将BOD 26-04描述为要求各机构优先快速修复面向公网暴露资产上的KEV漏洞，这些漏洞在被利用后会“使攻击者完全控制该资产”，同时推迟风险较低的工作。一个能交出编排器特权内部功能的漏洞，完全符合“完全控制”的描述，这也解释了为何修复期限只有三天。

更值得关注的是CISA标出的第二项要求：BOD 26-04“规定了机构在打补丁之前，必须检查威胁行为者是否已入侵系统的基本期望”。在修复期限的压力下，许多机构恰恰跳过了这一步。给一台上周已被攻陷的设备打补丁，并不能把攻击者赶出去，只是给攻击者的客厅换了新装修。

那么，日志显示了什么？在VCO主机上，SQL注入会留下痕迹：应用日志中格式异常或不正常的数据库查询、触及特权表的意外查询、与管理员活动对不上的认证或会话事件，以及攻击者进一步深入后留下的利用后痕迹，例如新进程、本应只与其管理生态系统通信的主机发起的外联连接。如果你的编排器日志没有传输到设备之外，这一周就是你发现当初为何这很重要的时候。被攻陷的编排器是保存其自身被攻陷证据的糟糕场所。

谁需要行动，以及行动多快

10月26日的期限只对美国联邦文职行政部门机构具有法律约束力。不过CISA明确表示，它“鼓励所有机构采用基于风险的漏洞管理，并优先修复KEV目录中的漏洞”。简单来说：如果你在本地运行VeloCloud Orchestrator，联邦期限是一个有用的推动因素，而不是等待的许可。正在利用此漏洞的攻击者并不会去核查目标是否属于某项具有约束力的运营指令的管辖范围。

请注意仍然未知的内容，因为这会影响应对方式。CISA尚未发布入侵指标（IoC）、关于此次利用活动的报告，也没有归因。尚未有威胁行为者被点名，我也不会凭空编造一个。Arista是否已发布具体补丁或缓解指南，CISA的公告本身同样未涉及，因此在安排工作前，请直接查看厂商公告和KEV条目中的修复参考信息。CISA告诉我们的，也是它需要告诉我们的全部：利用是真实的，时间很紧迫。

值得牢记的教训

2026年的SQL注入不是一种高明的攻击。它是一款本应更成熟的产品在输入处理上的失败，被那些正确判断管理平面防护薄弱、被默认信任且易于访问的人所利用。防御方的失败在于架构：我们一直把所有分支的钥匙交给同一台设备，然后在这台设备成为目标时却感到惊讶。

在10月26日前打补丁，无论是否有指令要求你这样做。但打补丁之前，先调取日志，回溯检查，并回答KEV收录之后唯一重要的问题：他们是否已经在这里了？如果因为遥测数据只留在主机上而无法回答，那就把这个问题也修好，这比另一种结果便宜得多。