Aristaは、オンプレミス版VeloCloud Orchestrator導入環境における最大深刻度のコマンドインジェクション脆弱性を修正しました。この脆弱性は攻撃で実際に悪用されています。
この脆弱性はCVE-2026-16812として追跡されており、認証不要で悪用可能なOSコマンドインジェクションの欠陥で、深刻度スコアは最大値である10.0を記録しています。
VCOとしても知られるVeloCloud Orchestratorは、VeloCloud SD-WAN導入環境および関連するエッジデバイスの設定・監視・管理に使われる一元管理プラットフォームです。
月曜日に公開されたArista社のセキュリティアドバイザリによると、この脆弱性により、遠隔の攻撃者は本来内部使用のみを想定し、外部からアクセスできないはずの特権機能にアクセスできてしまいます。
「悪用に成功すると、オーケストレーターおよびオーケストレーターが管理するデータの機密性・完全性・可用性が損なわれる可能性があります」とAristaは警告しています。
同社によると、VCOはデフォルトで外部に公開される仕様になっており、この公開を防ぐ設定オプションは存在しません。攻撃者はVCOのWebインターフェースへのネットワークアクセスさえあれば脆弱性を悪用でき、VCOのテナントやオペレーターの認証情報は一切不要です。
AristaによればCVE-2026-16812は外部から報告されたもので、実際に悪用されていることが確認されていますが、攻撃がいつ始まったのか、誰が背後にいるのか、どのように脆弱性が悪用されているのかについては明らかにされていません。BleepingComputerはこれらの点について同社に問い合わせています。
以下のVeloCloud Orchestratorオンプレミスバージョンが影響を受けます。
- 5.2.3.14より前のVCO 5.2.xリリース
- 6.1.3.4より前のVCO 6.1.xリリース
- 6.4.2.4より前のVCO 6.4.xリリース
- 7.0.0.1より前のVCO 7.0.xリリース
VeloCloud Orchestrator HostedおよびDedicatedの導入環境は、アドバイザリ公開前に既にパッチが適用されており、影響を受けません。VeloCloud GatewayおよびVeloCloud Edge製品もこの脆弱性の影響を受けません。
同社によると、この脆弱性はVCOバージョン5.2.3.14、6.1.3.4、6.4.2.4以降で修正済みです。影響を受けるソフトウェアの一覧を見ると、VCO 7.0.0.1以降のリリースも脆弱性の影響を受けないとされています。
Aristaは、サポート終了済みのソフトウェアバージョンについては脆弱性の有無を評価していないと警告しています。サポート対象外のリリース系統を使用している顧客は、Aristaテクニカルアシスタンスセンターに連絡し、利用可能なアップグレードオプションについて相談することが推奨されています。
米サイバーセキュリティ・インフラセキュリティ庁(CISA)も、CVE-2026-16812を既知の悪用された脆弱性(KEV)カタログに追加し、この脆弱性が攻撃で使用されていることを確認しています。
CISAは拘束的運用指令(BOD)22-01の規定に基づき、米連邦文民行政機関に対し、2026年7月30日(木)までにこの脆弱性への対策を講じるよう命じています。
侵害の痕跡(IOC)
パッチの展開が進む間、管理者はVCOのWebインターフェースへのアクセスを管理用ネットワークに制限し、既知の悪意あるIPアドレスからの接続を監視し、最近の管理者アクティビティに不審な変更がないか確認することが推奨されます。
Aristaは、この脆弱性の悪用に関与しているのが確認された3つのIPアドレスを公開しています。
- 8.19.75.217
- 206.72.242.124
- 206.72.242.162
管理者はこれらのIPアドレスをブロックし、ログを確認して過去にこれらから接続がなかったか調べることが推奨されます。ただし、他のIPアドレスから侵害されているデバイスが存在する可能性もあるため、このリストが完全なものとは限りません。
組織は、以下のような悪用の兆候がないか、VCOのログを確認する必要があります。
- エンコードされた文字、URLのようなパス要素、ローカルまたは内部サービスへの参照を含む不審なWebリクエスト、または異常に高いリクエストレート
- 既知の悪意あるIPアドレスからの接続
- VCOホストからの予期しないアウトバウンドHTTP/HTTPS通信
- 不正な設定変更や特権を伴うメンテナンス作業
- 予期しないコマンドの実行、ファイルの作成、データベースのエクスポート、アーカイブファイルの生成
- VCOのデータベース、設定データ、デバイス一覧、認証情報、証明書、暗号鍵への不審なアクセス
侵害が疑われる場合、組織は修復作業を行う前に、すべてのログとファイルシステムのタイムスタンプを保全しておく必要があります。
影響を受けた可能性のある組織は、認証情報のローテーション、管理者アクティビティの確認、管理対象デバイスの検証を行い、侵害されたインスタンスの復元または置き換えを検討する必要があります。
悪用が成功するとオーケストレーターのホストとそれが管理するデータの両方が侵害される可能性があるため、既に侵害を受けたシステムに対してはセキュリティ更新プログラムの適用だけでは不十分な場合があります。
Aristaは、VeloCloud Orchestratorインスタンスが侵害されると、攻撃者がVeloCloud Edgeデバイスにもアクセスできるようになる可能性があると警告しています。
攻撃者に先んじて、すべてのレイヤーをテストする
セキュリティチームが検知できている攻撃はわずか54%、アラートが発報されるのはたった14%に過ぎません。残りは環境内を気づかれることなく通過しています。
Picusのホワイトペーパーでは、侵害・攻撃シミュレーション(BAS)がSIEMやEDRのルールをどのようにテストし、検知をすり抜ける脅威を防ぐかを解説しています。
