Arista VeloCloud Orchestrator（VCO）On-Premには、認証されていないリモート攻撃者が、本来は内部利用に限られる特権機能へ到達できるCVE-2026-16812があります。Arista CNAは、VCOと管理対象データの機密性・完全性・可用性が損なわれ得ること、実際の悪用を把握していること、CVSS v3.1を10.0 CRITICALと評価していることを公表しています。
今すぐ行う対策
- ✓5.2系は5.2.3.14以上、6.1系は6.1.3.4以上へ更新する
- ✓6.4系は6.4.2.4以上、7.0系は7.0.0.1以上へ更新する
- ✓更新前後のVCOログと管理設定を確認し、不審な変更があれば侵害対応を開始する
脆弱性の概要と影響範囲
影響を受けるのはVCO On-Premの5.2.0から5.2.3.14未満、6.1.0から6.1.3.4未満、6.4.0から6.4.2.4未満、7.0.0から7.0.0.1未満です。Hosted版とDedicated版は公表前に修正済みです。CVEレコードはOSコマンドインジェクションという実装詳細までは示していないため、ここでは確認済みの『特権的な内部機能へのリモートアクセス』として扱います。
⚠ CVE Score — 最高危険度 / CRITICAL
10CRITICALCVSS v3.1CVE-2026-16812
具体的な影響・攻撃シナリオ
攻撃に認証や利用者操作は不要です。VCOはSD-WAN運用の中核であるため、侵害されると管理情報の漏えい、設定改変、サービス停止につながり得ます。過去に掲載していた特定IPアドレスは、現在参照できる一次資料で再確認できないため、固定の遮断リストとしては使用しません。IOCだけに頼らず、更新、ログ調査、設定の完全性確認を組み合わせてください。
対応手順と確認方法
利用中のVCO系列を確認し、上記の修正版以上へ更新します。Hosted版またはDedicated版か、On-Prem版かも取り違えないでください。更新できない間は管理面への到達元を必要最小限に絞りますが、アクセス制限をパッチの代替とはみなしません。CVEレコードとNVDを確認し、Aristaサポート契約下の配布物と手順に従ってください。
📦Amazon で関連書籍・ツールを検索
サーバーセキュリティ WAF クラウド
Amazonで探す →（アソシエイトリンク）