把租戶帳號設成唯讀，通常是為了減少誤改設定的風險。VeloCloud Orchestrator（VCO）這次漏洞卻讓最低內建租戶角色也成為需要檢查的存取身分，管理員名單不足以界定暴露範圍。

加拿大 Cyber Centre 10 月 23 日的更新確認，CISA 當天將 CVE-2026-114625 納入已知遭利用漏洞（KEV）資料庫。漏洞的原始公告是 10 月 22 日，新增 KEV 是這次的時效進展。

Arista Security Advisory 0199將問題分類為 SQL injection，確認已有實際利用。攻擊需要能連到 VCO Web 介面及有效登入工作階段，最低 Enterprise Read Only 角色即可取得 operator 權限並冒充本機 superuser operator。

我讀取原廠與加拿大官方公告，沒有執行漏洞測試或調查任何客戶部署。KEV 新增日期依加拿大官方更新確認，沒有直接核對 CISA 條目的其他欄位。以下處置順序是工程建議。

修補對象是 Orchestrator，版本要按分支核對

原廠列出的 VCO 受影響與修補範圍是：

  • 5.2.x 分支中，早於 5.2.3.18 的版本受影響，更新至 5.2.3.18 或該分支較新版本。
  • 6.1.x 分支中，早於 6.1.3.10 的版本受影響，更新至 6.1.3.10 或該分支較新版本。
  • 6.4.x 分支中，早於 6.4.2.12 的版本受影響，更新至 6.4.2.12 或該分支較新版本。

Hosted（含 Dedicated）曾受影響且已修補。VeloCloud Edge、Gateway 與公告列出的 EOS 產品不受這個漏洞影響。停止支援版本未經評估，不能把「沒有出現在清單」當成安全證據。版本與平台範圍

資產盤點時，我會把控制器的部署型態、實際版本與維運責任人放在同一筆紀錄。Edge 更新成功的截圖，不能替 On-Prem Orchestrator 證明已修補。代管服務則向供應商確認所屬實例的修補狀態，保留工單或通知。

暫時限制管理介面，不能取代升級

原廠表示沒有可消除暴露的設定，正式解法是更新修補版；過渡期建議限制 Web 介面至可信管理網段。原廠緩解與修正說明

因此變更單可以分成暫時限制與版本升級兩項，各有完成證據。限制套用後，從允許與不允許的來源檢查預期存取結果，並確認值班人員仍有可用的管理途徑。升級後另外核對實際版本及必要管理功能，避免把防火牆變更完成就標成漏洞已修復。

唯讀帳號在這裡也需要盤點。建議確認近期仍有效的租戶帳號、工作階段及其來源，查明哪些身分原本就能登入控制器。不要只因帳號沒有管理員角色，就把它排除在調查外。

站內控制平面與資料平面分工談過管理責任的歸屬。這次的實務工作，是找到管理控制器的那個人及那份版本證據，而非只確認網路裝置仍在轉送流量。

更新完成與入侵調查各自結案

已遭利用的漏洞需要兩條工作紀錄。第一條確認後續暴露是否修補，第二條調查修補前是否已有異常。只有新版版本號，還回答不了第二個問題。

若組織啟動事件調查，建議在營運條件允許下先保存相關日誌與調查時間範圍，再由應變人員決定修補、隔離和證據蒐集的先後。調查紀錄寫清楚檢查過哪些資料、哪些期間有缺漏，以及是否需要擴大範圍。沒有找到異常時，也保留這個結論的查核範圍。

今天可以先完成一筆 VCO 資產核對：部署型態、分支與版本、Web 介面可達來源、負責升級的人，以及調查工單。停止支援或無法確認版本的實例交由原廠支援確認升級路徑，不自行推定它不受影響。