Trusted Design

CVE-2026-16812 の詳細

CVEの情報

説明:
VeloCloud Orchestrator (VCO) on-prem has a security issue where this issue may allow a remote attacker to access privileged internal functionality and impact the VCO host. Successful exploitation may compromise the confidentiality, integrity, and availability of the orchestrator and data managed by the orchestrator. This functionality was intended to be for internal use only and is not intended to be remotely accessible. Hosted and Dedicated versions of VCO have already been patched in advance of this notice going out. This issue was discovered externally and is known to be actively exploited.

CVE更新日: 2026-07-27 16:17:03.640000

CVSSバージョン: 4.0

CVSSスコア: 10.0

KEVの情報

KEV更新日: 2026-07-27

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.010010000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: low

Automatable: True

AIを使った解説

解説:

CVE-2026-16812に関する調査結果を以下にまとめます。

1. 脆弱性の概要

CVE-2026-16812は、Arista Networks社のSD-WAN環境の統合管理製品であるVeloCloud Orchestrator (VCO) のオンプレミス版に存在するOSコマンドインジェクションの脆弱性です。この脆弱性はCWE-78（OS Command Injection）に分類されます。

本来内部利用のみを目的とした特権機能にリモートからアクセスされる可能性があり、すでに積極的に悪用が確認されています。

1.1 影響

この脆弱性が悪用された場合、オーケストレーター本体およびオーケストレーターが管理するデータの機密性、完全性、可用性が損なわれる恐れがあります。 認証されていないリモートの攻撃者は、VCOホスト上で任意の操作を実行できる可能性があり、管理対象のVeloCloud Edgeデバイスも危険にさらされる可能性があります。 具体的には、データの漏洩、改ざん、およびサービス拒否につながる可能性があります。

1.2 深刻度

CVSSv3.1のベーススコアは最高の「10.0」であり、重要度は「緊急（Critical）」と評価されています。

  • CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
    • 攻撃元区分 (AV): ネットワーク (Network)
    • 攻撃条件の複雑さ (AC): 低 (Low)
    • 攻撃に必要な特権レベル (PR): 不要 (None)
    • 利用者の関与 (UI): 不要 (None)
    • 影響の想定範囲 (S): 変更あり (Changed)
    • 機密性への影響 (C): 高 (High)
    • 完全性への影響 (I): 高 (High)
    • 可用性への影響 (A): 高 (High)

CISA（米サイバーセキュリティ・インフラストラクチャセキュリティ庁）は、2026年7月27日にこの脆弱性を「悪用が確認された脆弱性カタログ（Known Exploited Vulnerabilities Catalog: KEV）」に追加しています。 EPSS (Exploit Prediction Scoring System) による悪用確率は1.6%です。

2. 対象となる環境

2.1 影響を受けるOSバージョン

Arista VeloCloud Orchestrator (VCO) のオンプレミス版が影響を受けます。

影響を受けるVeloCloud Orchestratorのバージョンは以下の通りです。

  • 5.2.0 から 5.2.3.13 まで (または 5.2.3.14 未満)
  • 6.1.0 から 6.1.3.3 まで (または 6.1.3.4 未満)
  • 6.4.0 から 6.4.2.3 まで (または 6.4.2.4 未満)
  • 7.0.0 (または 7.0.0.1 未満)

なお、ホスティング版および専用版のVCOは、この脆弱性に関する通知が公開される前にすでにパッチが適用されています。

2.2 影響を受ける設定

この脆弱性のある機能は、本来内部利用のみを目的としていましたが、リモートからアクセス可能になっていました。 VCOはデフォルトで脆弱性が存在する状態で公開されており、この脆弱な機能を無効にする製品設定は存在しません。 攻撃者はVCOのウェブインターフェースへのネットワークアクセスのみで攻撃が可能であり、テナントやオペレーターの認証情報は不要です。

3. 影響を受けた時の兆候

以下のような兆候が確認された場合、脆弱性が悪用された可能性があります。

  • 管理者操作における通常とは異なる変更。
  • VCOのウェブアクセスログにおける不審な活動（エンコードされた文字を含むリクエスト、通常とは異なるURL形式のパス要素、ローカルまたは内部サービスへの参照、大量のリクエストなど）。
  • VCOホストから発信される予期しないHTTP/HTTPS通信。
  • Aristaは、特定のIPアドレス (8.19.75.217, 206.72.242.124, 206.72.242.162) からの攻撃を観測しています。

4. 推奨対策

4.1 本対策

直ちに修正版へのアップデートを適用してください。

具体的なアップグレードバージョンは以下の通りです。

  • 5.2.x 系列の場合は 5.2.3.14 以降にアップグレード
  • 6.1.x 系列の場合は 6.1.3.4 以降にアップグレード
  • 6.4.x 系列の場合は 6.4.2.4 以降にアップグレード
  • 7.0.x 系列の場合は 7.0.0.1 以降（7.0.0.1以降は影響範囲外）

4.2 暫定回避策（緩和策）

パッチ適用が直ちに実施できない場合は、以下の暫定的な緩和策を適用してください。

  • VCOのウェブインターフェースへのアクセスを信頼できる管理ネットワークに制限してください。
  • 管理プレーンを広範囲に公開しないでください。
  • この脆弱性を単なる定期的なパッチ適用として扱わず、侵害の有無を確認してください。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る