Arista Networksは月曜日、集中管理プラットフォームであるVeloCloud Orchestrator(VCO)に存在する深刻度クリティカルのOSインジェクション脆弱性に対するパッチを公開し、この脆弱性がすでにゼロデイとして実際の攻撃に悪用されていると警告しました。
この脆弱性はCVE-2026-16812として追跡されており、CVSSスコアは最大値の10で、リモートから悪用することで本来内部利用専用に限定されている特権機能にアクセスできる可能性があります。
Arista Networksはアドバイザリの中で、「悪用に成功すると、オーケストレーターおよびオーケストレーターが管理するデータの機密性、完全性、可用性が損なわれる可能性があります」と述べています。
同社によると、この脆弱性の影響を受けるのはVeloCloud Orchestrator On-Prem(旧称:VeloCloud Orchestrator by Broadcom)のみです。この不具合はVCOバージョン5.2.3.14、6.1.3.4、6.4.2.4、7.0.0.1で修正されました。
Aristaは「この問題は社外からの報告により発見されたものであり、実際に悪用されていることが確認されています」と警告しています。
また同社は、この脆弱性の悪用に特別な設定や認証は一切必要ないという点も指摘しています。
Aristaは「VCOはデフォルトで外部に公開されています。この公開状態を防止できる設定はありません。攻撃を成功させるにはVCOのWebインターフェースへのネットワークアクセスが必要ですが、この脆弱性の悪用にVCOテナントまたはオペレーターの認証情報は不要です」と述べています。
防御側に対しては、VCOのWebアクセスログを確認し、想定外のアクティビティや不審なURL形式のパスコンポーネントがないか調べるとともに、VCOバックエンドアプリケーションログおよびシステムログをレビューし、悪意あるIPからのリクエスト、外部へのHTTP/S通信、管理業務に関連しない特権操作といった、その後の不審な活動の痕跡を確認するよう推奨しています。
さらに、コマンド実行、データベースのエクスポート、ファイル作成、デバイスインベントリ・設定・証明書・認証情報・鍵素材へのアクセスに関わる想定外の操作についても調査すべきだとしています。
Aristaは「侵害が疑われる場合、運用担当者は可能な限り、対応措置を講じる前にVCOのWebアクセスログ、バックエンドアプリケーションログ、システムログ、データベースログ、および関連するファイルシステムのタイムスタンプを保全すべきです」と述べています。
月曜日、米国のサイバーセキュリティ機関であるCISAはCVE-2026-16812を既知の悪用された脆弱性(KEV)カタログに追加し、BOD 26-04で義務付けられている通り、連邦政府機関に対して3日以内のパッチ適用を求めています。
さらにCISAは、ハッカーがCVE-2025-68686を悪用していると警告しています。この脆弱性は今年初め、CVE-2022-42475、CVE-2023-27997、CVE-2024-21762など、これまでに悪用されたFortiOS SSL-VPNの脆弱性に対するパッチのバイパスとしてFortinetが割り当てたものです。
