JPCERT/CCは2026年10月28日、Aristaが提供するVeloCloud OrchestratorにSQLインジェクションの脆弱性があると週報で伝えた。Aristaは、この脆弱性を悪用した攻撃を確認しているとしている。

ホスト型はすでに修正されている。一方、オンプレミス版の利用者には、製品を修正済みのバージョンへ更新するよう求めている。詳しい内容については、開発者が提供する情報を参照するよう案内している。

同じ週報では、PHPの複数の脆弱性についても注意を呼びかけた。リモートコード実行につながる問題で、悪用できると主張する実証コードが多数公開されているほか、悪用を試みる通信を観測したとの報告も相次いでいるという。バージョンアップで解決できるが、サポート終了済みのバージョンには修正版が提供されないとしている。

このほか、ISC BIND、GitLab、Apache Tomcat、Google Chromeなどの脆弱性も紹介した。いずれも修正済みバージョンへの更新で問題を解決できるとしている。

MARBLEの対応例：この件の場合

VeloCloud Orchestratorの利用形態と、サーバーで使用するPHPの状態をまず確かめます。

  1. VeloCloud Orchestratorを利用しているか、オンプレミス版かを確かめる
  2. オンプレミス版の場合、導入した会社に修正版への更新を依頼する
  3. サーバーのPHPのバージョンとサポート期限を確かめる
  4. 必要に応じてPHPを更新し、プログラムの改修と動作確認をする

関係するサービス

バージョンアップと改修150,000円〜

※金額は一例です。システムの構成や規模、作業の範囲によって変わります。

出典

JPCERT/CC「Weekly Report: VeloCloud OrchestratorにSQLインジェクションの脆弱性」（2026年10月28日）

この記事は、上の出典をもとに当社がまとめ直したものです（生成AIで下書きし、担当者が確認しています）。詳しい内容や最新の状況は、出典をご確認ください。