Arista Networksは2026年7月27日、VeloCloud Orchestrator(VCO)のオンプレミス版に存在する認証不要のOSコマンドインジェクション脆弱性CVE-2026-16812を、Security Advisory 0144で公表しました。CVSS v3.1とCVSS v4.0の基本値はいずれも最高値の10.0です。Aristaによると、この脆弱性は外部から報告され、実際の攻撃で悪用されています。攻撃にはVCOのWebインターフェースへのネットワーク到達性が必要ですが、VCOのテナントまたはオペレーターの認証情報やユーザー操作は必要ありません。悪用に成功した場合、VCOホストとVCOが管理するデータの機密性、完全性、可用性が損なわれる可能性があります。
CISAは同日、CVE-2026-16812をKnown Exploited Vulnerabilities(KEV)カタログに追加しました。KEV上の対応期限は2026年7月30日で、米国連邦政府行政機関は現在のBinding Operational Directive 26-04に従って対応する必要があります。BOD 26-04は2026年6月10日にBOD 22-01を置き換える形で発効した新しい指令で、資産の露出状況、KEV登録状況、悪用の自動化可能性、悪用後の技術的影響という4つの基準に基づいて、脆弱性対応の優先度を判断する仕組みを採用しています。
| 項目 | 内容 |
|---|---|
| CVE ID | CVE-2026-16812 |
| 種別 | 認証不要のOSコマンドインジェクション |
| CVSS 3.1基本値 | 10.0(Critical、最高値) |
| 影響製品 | VeloCloud Orchestrator(VCO)オンプレミス版 |
| 影響バージョン | VCO 5.2.x(5.2.3.14未満)、6.1.x(6.1.3.4未満)、6.4.x(6.4.2.4未満)、7.0.x(7.0.0.1未満) |
| 修正バージョン | 5.2.3.14以降、6.1.3.4以降、6.4.2.4以降(AristaがResolution欄で明示)。7.0系は7.0.0.1以降が影響対象外(Resolution欄には7.0.0.1の明記なし、運用中の場合は要確認) |
| 影響を受けない製品 | VCOのホスト型および専用型デプロイメント(アドバイザリ公開前に修正済み)、VeloCloud Gateway、VeloCloud Edge |
| Aristaアドバイザリ | Security Advisory 0144(2026年7月27日) |
| 実悪用 | 外部発見、Arista確認済み(攻撃時期・攻撃者・悪用手口の詳細は非公表) |
| CISA KEV | 登録済み。米連邦政府行政機関はBOD 26-04に従い2026年7月30日までに対応が必要 |
| 悪用条件 | VCO Webインターフェースへのネットワーク到達性のみ、認証情報とユーザー操作は不要 |
VeloCloud OrchestratorがSD-WANで担う役割
VeloCloud Orchestratorは、VeloCloud SD-WAN環境の設定、監視、管理を担う管理プレーン(management plane)のコンポーネントです。Aristaのオンプレミス構成ガイドでは、Orchestratorを管理プレーン、Controllerを制御・ルーティングプレーン(control and routing plane)、Hub Clusterをデータプレーン(data plane)として区別しています。もともとVMwareが提供していたVeloCloud SD-WAN製品群の中核コンポーネントで、Broadcomを経て、Aristaが2025年7月にBroadcomからVeloCloud SD-WANポートフォリオを取得したと発表しています。
Aristaは、VCOが侵害された場合、VeloCloud Edgeデバイスへのアクセスにもつながる可能性があると説明しています。ただし、現時点では攻撃者が実際に行った設定変更やトラフィック操作、認証情報窃取の詳細は公表されていません。管理プレーンの掌握は、そのVCOが管理するデバイス群への影響につながり得るという構造的なリスクとして捉える必要があります。
VCOは3種類のデプロイメント形態で提供されます。Arista(旧Broadcom)がホスティングするホスト型、専用インスタンスを個別に割り当てる専用型、そして顧客自身がインフラを保有して運用するオンプレミス版です。CVE-2026-16812はこのうちオンプレミス版のみを対象とした脆弱性で、ホスト型と専用型はアドバイザリ公開前にAristaが先行して修正を適用済みです。
CVE-2026-16812の中核 — 認証不要のOSコマンドインジェクション
本脆弱性の性質は明確です。認証を経ずにVCOホスト上でOSコマンドを実行できる欠陥が、通常のWebインターフェース経由で到達可能な形で残存していました。CVSS v3.1で10.0という最高値が付与されているのは、攻撃元区分(AV)がネットワーク経由、攻撃条件の複雑さ(AC)が低、必要な特権(PR)がなし、ユーザー操作(UI)なしで、機密性・完全性・可用性すべてに高い影響が及ぶ、という組み合わせの結果です。CVSS v4.0でも同じく10.0が付与されています。
Aristaによると、脆弱な機能はデフォルトで露出しており、当該露出を製品設定で無効化する方法はありません。攻撃にはVCOのWebインターフェースへのネットワークアクセスが必要です。これは、すべてのVCOがデフォルトでインターネットへ直接公開されることを意味するものではなく、Aristaは、VCOのWebインターフェースへのアクセスを信頼できる管理ネットワークに限定することで、悪用リスクを軽減できるとしています。攻撃者はVCOのWebインターフェースに接続できさえすれば、VCOテナントやオペレーターの認証情報を一切保有せずに攻撃を成立させられるため、悪用のハードルは実質的にネットワーク到達性の有無に集約されます。
Aristaは攻撃がいつ始まったのか、誰が攻撃者なのか、どのように脆弱性が悪用されているのかについて詳細を明かしていません。BleepingComputerが同社にこれらの疑問を問い合わせたと報じていますが、記事執筆時点で追加情報は公開されていません。攻撃が成功した場合の影響については、Aristaは「オーケストレータおよびオーケストレータが管理するデータの機密性、完全性、可用性が損なわれる可能性がある」と明記しています。
影響を受けるバージョンと修正版
影響を受けるのは、VCOオンプレミス版の5.2.3.14未満、6.1.3.4未満、6.4.2.4未満、7.0.0.1未満です。AristaのResolution欄では、5.2.3.14以降、6.1.3.4以降、6.4.2.4以降が修正版として明記されています。7.0系については、影響対象一覧から7.0.0.1以降は影響対象外と判断できますが、Resolution欄には7.0.0.1が修正版として列挙されていません。7.0系を運用している場合は、Aristaの最新情報を確認するか、Aristaサポート契約の下でテクニカルアシスタンスセンターに個別に問い合わせるのが実務的です。
影響を受けないVCOデプロイメントとしては、前述のホスト型と専用型があり、いずれもアドバイザリ公開前にAristaが先行して修正を適用しています。同じVeloCloud製品群でも、VeloCloud GatewayおよびVeloCloud Edgeは今回の脆弱性の影響を受けません。CVE-2026-16812はあくまでVCOオンプレミス版に限定される脆弱性です。
Aristaはサポート終了バージョンのソフトウェアについては、脆弱性の有無に関する評価を行っていないと注意喚起しています。サポート終了(End of Support)済みのリリース系統を運用している組織は、Aristaテクニカルサポートセンターに連絡してアップグレード経路の相談を行う必要があります。SD-WANオーケストレータはネットワーク境界に近い位置にあり、サポート切れのまま運用を続けている場合はCVE-2026-16812だけでなく蓄積された未修正脆弱性も引きずっている可能性があるため、この機に系統的な棚卸しを行うのが実務的な選択肢です。
公開されたIoCと監査で見るべきポイント
Aristaは今回、脆弱性の悪用に使用された3件のIPアドレスをIoC(Indicators of Compromise)として公開しました。8.19.75.217、206.72.242.124、206.72.242.162の3つです。ただし、Aristaは単一の確定的な侵害指標は存在しないとしており、これらのIPアドレスがログにないことだけで侵害を否定することはできません。管理者はこれらのIPをブロックリストに追加するとともに、既存のログを遡って過去にこれらのIPからの接続がなかったかを確認する必要があります。
管理者はVCOのWebアクセスログ、バックエンドアプリケーションログ、システムログ、データベースログを確認し、Aristaが挙げる次のシグナルを調査する必要があります。異常なURL形式やエンコード文字、内部サービスへの参照、高頻度のリクエストを含む異常なWebリクエスト。既知の悪意あるIPアドレスからの接続。VCOホストからの予期しない外向きHTTPまたはHTTPSトラフィック。認可されていない設定変更や特権的なメンテナンス活動。予期しないコマンド実行、ファイル作成、データベースエクスポート、アーカイブファイルの生成。VCOデータベース、設定データ、デバイスインベントリ、認証情報、証明書、暗号鍵への疑わしいアクセスといった項目です。
侵害が疑われる場合は、対応を開始する前に可能な範囲でログとファイルシステムのタイムスタンプを保全することが強く推奨されます。修復先行でエビデンスを消失させないための基本的な原則です。なお、Aristaは具体的な攻撃エンドポイント、悪用に用いられるパラメータやペイロード、実行される具体的なコマンド系列などは公表していません。したがって、上記シグナル以外の独自検知ルールを整備する場合は、環境ごとの検証を前提とした一般的な追加監査観点として位置づける必要があります。
パッチ即時適用が困難な場合の緩和策と侵害時対応
パッチ展開を進める間の一時的な対処として、Aristaは管理者に対しVCOのWebインターフェースへのアクセスを管理ネットワークに限定するよう推奨しています。VCOがインターネットに直接公開されている環境では、Access Control List(ACL)やファイアウォールルールでアクセス元を組織の管理セグメントに絞り、外部からの直接到達性を遮断することが即効性のある対策になります。SD-WANオーケストレータの性質上、配下のVeloCloud Edgeとの通信は維持しつつ管理面だけを限定する構成が求められるため、既存のネットワーク設計との整合を確認しながら進める必要があります。
侵害が確認された、あるいは強く疑われる場合の対応として、Aristaは修正版への更新に加え、認証情報のローテーション、管理者操作の見直し、管理対象デバイスの状態検証、信頼できるソースからのVCO復元または置換の検討を推奨しています。攻撃が成功するとVCOホストと管理データの両方が侵害され得るため、侵害が疑われる場合はパッチ適用だけで対応完了とせず、これらのステップを組み合わせて実施する必要があります。
加えて、VCOの侵害はVeloCloud Edgeデバイス群への足がかりとして機能する可能性があるとAristaは説明しています。侵害対応の検討対象には、VCOのローカル管理者アカウントに加え、SD-WANテナントアカウント、API連携用のサービスアカウント、VCOとバックエンド(データベースや外部認証基盤)との接続用資格情報を含めることになります。管理対象のEdgeデバイスに配布されている設定テンプレート、証明書、共有鍵についても、侵害期間中に不正な変更が加えられていないかの検証を検討対象に含めます。ただし、これらの実施範囲は環境ごとの構成と運用の実情に応じて判断する必要があります。
CISA KEV登録と関連するAdvisory 0145
米国CISAは今回、Aristaのアドバイザリと並行してCVE-2026-16812をKEVカタログに追加しました。KEVは実悪用が確認された脆弱性のみを収載する目録です。米国連邦政府行政機関(FCEB)は現在のBOD 26-04に従って対応する必要があり、KEV上の期限は2026年7月30日、公表から3日後という短い対応期限が設定されています。
民間組織にとってBOD 26-04自体は強制力を持ちませんが、KEVの登録は「一般的な脆弱性ではなく、既に攻撃で使用されている実弾である」という強いシグナルです。パッチ適用の優先度判断において、CVSSスコアだけでなくKEV登録の有無を組み合わせて評価する運用が定着してきており、CVE-2026-16812はCVSS 10.0とKEV登録の両方が揃った「即時対応対象」の典型例に位置づけられます。
なおArista PSIRTは同じ2026年7月27日付で、Security Advisory 0145としてVCOオンプレミス版に影響する別の2件の脆弱性も公表しています。CVE-2026-17191は、フローメトリクスAPIのSQLインジェクションにより権限外データへのアクセスや意図しない外向き通信につながる可能性がある問題(CVSS v3.1で9.1、最低権限はEnterprise Read Only)、CVE-2026-17192は入力検証不足により内部サービスへのSSRFが可能になる問題(CVSS v3.1で8.5、最低権限はEnterprise Standard Admin)です。いずれも認証済みセッションが必要で、Aristaは実悪用を把握していません。
SD-WAN管理プレーンとしての位置づけ
SD-WANの管理プレーンは、配下のデバイス群に対する設定、監視、管理を集約する役割を持ちます。このため、VCOのWebインターフェースがインターネットや広範なネットワークから到達可能な構成では、侵害時の影響が管理対象へ波及する可能性があります。Aristaも、VCOプラットフォームの侵害によってVeloCloud Edgeデバイスへのアクセスにつながる可能性があると説明しています。
VeloCloud Orchestratorでは過去にも、認証済みテナントから悪用可能なブラインドSQLインジェクション脆弱性CVE-2020-3973が公表されています。CVE-2020-3973はベンダー評価でCVSS 8.5、現在のNVD評価で8.8です。これに対し、CVE-2026-16812は認証情報を必要とせず、CVSS 10.0が付与され、実際の攻撃で悪用されている点で、より緊急性の高い脆弱性です。
今回の事例で明らかになったのは、管理プレーンをインターネットに直接公開する構成が、認証不要の脆弱性が発生した際に極めて深刻な影響につながり得るという点です。対象組織は修正版への更新を最優先とし、更新までの間はVCOのWebインターフェースへのアクセスを信頼できる管理ネットワークに限定してください。多要素認証は通常の管理者アカウント保護には有効ですが、認証を必要としない本脆弱性の直接的な緩和策にはなりません。
一次情報・公式情報
Advisories & Notices – Security Advisory(Arista Networks、PSIRT公式一覧、Security Advisory 0144 および 0145 が2026年7月27日付で公表)
Known Exploited Vulnerabilities Catalog — CVE-2026-16812 掲載(CISA)
Binding Operational Directive 26-04: Prioritizing Security Updates Based on Risk(CISA)
参考情報
Arista patches VeloCloud Orchestrator zero-day exploited in attacks(BleepingComputer、2026年7月27日)
NVD – CVE-2020-3973(VeloCloud Orchestrator blind SQL injection、2020年)
コメント