概要

Arista Networksが提供するSD-WAN管理プラットフォーム「VeloCloud Orchestrator(VCO)」のオンプレミス版に、CVSSスコア10.0(最大深刻度)の未認証OSコマンドインジェクション脆弱性「CVE-2026-16812」が発見され、既に実際の攻撃で悪用されていることが明らかになった。Aristaはこの脆弱性を修正するパッチを2026年7月27日にリリースし、米国CISA(サイバーセキュリティ・インフラセキュリティ庁)はKnown Exploited Vulnerabilities(KEV)カタログに本脆弱性を追加、連邦機関に対して緊急のパッチ適用を求めている。

脆弱性の技術的な詳細

CVE-2026-16812は、リモートの未認証攻撃者が本来内部専用として設計された特権機能を呼び出せてしまう脆弱性で、悪用に成功するとVCOホストへの不正アクセスや任意コード実行が可能になる。Aristaは「悪用に成功した場合、オーケストレーターの機密性・完全性・可用性が損なわれる可能性がある」と説明している。影響を受けるのはオンプレミス展開のVCOで、具体的には以下のバージョンが対象となる。

  • VCO 5.2.x(5.2.3.14より前)
  • VCO 6.1.x(6.1.3.4より前)
  • VCO 6.4.x(6.4.2.4より前)
  • VCO 7.0.x(7.0.0.1より前)

なお、VeloCloudのホスト型・専用型デプロイメントおよびVeloCloud Gateway/Edge製品はこの脆弱性の影響を受けない。

悪用の状況

本脆弱性は既に野生(in the wild)で悪用されており、攻撃元として8.19.75.217、206.72.242.124、206.72.242.162の3つのIPアドレスが確認されている。Aristaは攻撃者の身元や具体的な悪用手法、攻撃タイムラインの詳細については公表していない。CISAはArista VeloCloud Orchestratorの脆弱性と同時に、Fortinet FortiOSの機密情報開示の脆弱性(CVE-2025-68686、CVSS 5.3)もKEVカタログに追加した。こちらはシンボリックリンクの永続性を防ぐセキュリティパッチをバイパスできるものだが、単独での悪用はできず、ファイルシステムレベルへの既存アクセスが前提となる。

推奨される対策

Aristaは影響を受けるバージョンに対し、5.2.3.14、6.1.3.4、6.4.2.4、7.0.0.1以降の修正版を提供している。CISAは連邦機関に対し2026年7月30日までの対応を義務付けており、他の組織にも早急なパッチ適用を推奨している。パッチ適用に加え、AristaはVCOのWeb管理インターフェースへのアクセスを管理用ネットワークに制限すること、ログを監視して不審なリクエストや異常な外向き通信がないか確認すること、認証情報のローテーション、および管理対象デバイスに侵害の痕跡がないか検証することを推奨している。