Aristaが重大なVeloCloud Orchestratorの脆弱性を修正

どれほど堅牢に防御されたネットワークインフラであっても、集中管理システムに脆弱性が存在すれば、攻撃者にとって格好の侵入口へと一変しかねません。実際、Aristaは最近、VeloCloud Orchestratorのオンプレミス展開環境に存在する重大な欠陥を修正しましたが、この脆弱性は現在、実際の攻撃で悪用されています。

VeloCloud Orchestratorは、SD-WAN(Software-Defined Wide Area Network)アーキテクチャの集中管理プラットフォームとして機能します。管理者はこの高度なインターフェースを通じて、相互接続されたネットワーク機器や企業の拠点を体系的に構成・監視・更新します。

認証不要のRCE脆弱性の詳細

この深刻な脆弱性は正式にCVE-2026-16812として登録されており、CVSS 3.1で最大値となる10.0の深刻度スコアが付与されています。この根本的な問題により、リモートの攻撃者はいかなる認証も必要とせずに任意のOSコマンドを実行できてしまいます。さらに驚くべきことに、この攻撃を仕掛けるにはVeloCloud OrchestratorのWebインターフェースへの基本的なネットワークアクセスだけで十分だという点です。

Aristaが公開したCVE-2026-16812に関するセキュリティアドバイザリによれば、悪用に管理者資格情報もクライアント資格情報も一切必要ありません。この脆弱性は、本来外部からのアクセスを遮断しておくべき内部機能を事実上外部に露出させてしまっています。その結果、悪用に成功すればプラットフォーム全体が完全に乗っ取られ、管理下にあるすべてのネットワーク情報が壊滅的に流出する恐れがあります。

侵害に成功した攻撃者は、集中管理サーバー自体はもちろん、それに接続された無数のネットワーク機器についても完全な制御権を奪う可能性があります。ただし、Aristaがホストするクラウド版のVeloCloud Orchestrator、およびVeloCloud GatewayとVeloCloud Edgeの各製品は、この脆弱性の影響を受けない点に注意が必要です。

迅速な修正とCISAの指令

Aristaはサポート対象の各ブランチ、具体的にはVCOバージョン5.2、6.1、6.4、7.0向けに、包括的な修正パッチを速やかに公開しました。サポート終了(EOL)となった旧バージョンを使用している管理者は、適切なアップグレード経路を判断するため、直ちにテクニカルサポートへ問い合わせることが強く推奨されます。

この脅威の深刻さを裏付けるように、米国のサイバーセキュリティ・インフラセキュリティ庁(CISA)はCVE-2026-16812を既知の悪用済み脆弱性(KEV)カタログに追加しました。さらにCISAは、連邦文民行政機関に対し、7月30日までにこの問題への対応を義務付ける拘束力のある運用指令を発出しています。

予防的な防御策とインシデント対応

公式アップデートの適用を待つ間、Aristaは管理者に対し、VeloCloud Orchestratorの Webインターフェースへのアクセスを専用の管理用サブネットに厳格に限定するよう助言しています。セキュリティチームは、既知の悪意あるIPアドレスからの着信接続がないか常に監視するとともに、システムログを注意深く精査して侵害の痕跡がないか確認する必要があります。

侵害の可能性を疑う場合、同社はフォレンジック分析のためにイベントログとファイルのタイムスタンプを直ちに保全することを推奨しています。さらに、組織はすべての管理者資格情報を体系的にローテーションし、管理者およびすべての管理対象デバイスの活動を厳密に監査する必要があります。悪意ある攻撃者がすでにシステム内に足場を築いている場合、単にソフトウェアアップデートを適用するだけではネットワークの完全性を回復するには不十分な可能性があります。