AristaのSD-WAN管理サーバー「VeloCloud Orchestrator」にCVSS 10.0の脆弱性、すでに悪用も確認

要点

• 米Arista Networksは、オンプレミス版「VeloCloud Orchestrator（VCO）」に最大深刻度CVSS 10.0の脆弱性（CVE-2026-93952）が存在し、すでに実際の攻撃で悪用されていると発表した。

• 認証情報を持たない遠隔の攻撃者がVCOホストの内部特権を取得し、管理下のデータやエッジ機器へアクセスできる危険性がある。

• 被害を受けるのは、エッジ機器の認証に証明書を使用する設定の環境で、Web管理画面へのアクセスと公開証明書が必要となる。

• バージョン5.2系および6.4系には修正パッチが公開された一方、6.1系および7.0系は現在パッチを準備中となっている。

• パッチ未適用の環境向けにアクセス制限などの緩和策が提示されているほか、ファイルやIPアドレスなどの侵害指標（IoC）も公開された。

• 米Arista Networks（アリスタネットワークス）は2026年9月22日、同社のSD-WAN製品を管理するサーバー「VeloCloud Orchestrator（VCO）」において、極めて深刻な脆弱性が確認され、すでに実際の攻撃に悪用されていることをセキュリティアドバイザリで公表した。

• 本脆弱性は「CVE-2026-93952」として識別されており、共通脆弱性評価システムCVSS 3.1のスコアで最高値となる「10.0」が割り当てられている。影響を受けるのはオンプレミス環境に導入されているVCOで、攻撃者によって管理サーバーそのものや、そこに接続されているエッジ機器が制御される恐れがあるという。

脆弱性の概要と想定される脅威

VeloCloud Orchestrator（VCO）は、SD-WAN（ソフトウェア定義型広域ネットワーク）環境において、各拠点に配置されたエッジ機器「VeloCloud Edge」を一元的に設定・監視・制御するための管理サーバーソフトウェアである。

Aristaによると、今回判明した脆弱性を悪用されると、事前のログイン権限を持たないリモートの攻撃者が内部機能の特権を取得し、VCOホスト全体に深刻な影響を及ぼす可能性があるという。攻撃が成功した場合、オーケストレーター本体やそこで管理されている各種データが侵害されるだけでなく、VCOが統括している配下のEdgeデバイス群への不正アクセスにもつながる危険性があると説明されている。

本脆弱性は外部からの報告によって発見されたもので、同社はすでに攻撃者による活発な悪用を確認しているとしている。ただし、悪用がいつ頃から始まったのか、またどの程度の規模で攻撃が広がっているのかについての詳細は現時点で明かされていない。

影響を受ける環境と攻撃成立の条件

今回の脆弱性は、すべてのVCO環境が無条件で影響を受けるわけではない。影響が及ぶのは、VeloCloud EdgeからVCOへの接続認証において「証明書ベースの認証」を設定しているオンプレミス環境に限定される。

VeloCloudの仕様では、Edge機器とオーケストレーター間の認証方式として、事前共有鍵（PSK）を用いる「Certificate Deactivated」モードと、オーケストレーターが発行した証明書を用いる「Certificate Acquire」および「Certificate Required」モードの計3種類が存在する。Aristaのアドバイザリでは証明書認証が構成されている場合にリスクが生じるとされているが、具体的にどのモードが該当するかまでは言及されていない。

また、攻撃を実行するためには、VCOのWeb管理インターフェースへのネットワークアクセス権に加え、対象となるEdge機器の認証証明書の公開部分を入手している必要がある。なお、2026年7月に報告された別の脆弱性（CVE-2026-16812）はデフォルト設定の全環境が無条件で対象となっていたが、今回の脆弱性は特定の設定要件が前提となっている点が異なる。

各バージョンの修正状況とパッチの提供予定

Aristaが提供するクラウド型の「Hosted」版および「Dedicated」版のVCOについては、同社側ですでに修正パッチの適用が完了している。一方で、利用者が自社で運用するオンプレミス版については、リリース系列ごとに対応状況が分かれている。

2026年9月22日時点で公表されている各系列の対応状況は以下の通りである。

• 5.2系: バージョン「5.2.3.15」以前が影響を受け、修正済みの「5.2.3.16」以降がリリースされている（※7月のCVE-2026-16812は5.2.3.14で修正済み）。
• 6.1系: バージョン「6.1.3.7」以前が影響を受けるが、現時点で修正版は未提供となっている（※7月の脆弱性は6.1.3.4で修正済み）。
• 6.4系: バージョン「6.4.2.7」以前が影響を受け、修正済みの「6.4.2.8」以降が提供されている（※7月の脆弱性は6.4.2.4で修正済み）。
• 7.0系: バージョン「7.0.0.2」以前が影響を受け、現時点で修正版は未提供となっている（※7.0.0.1以降は7月の脆弱性の影響なし）。

Aristaは、現在サポートが継続しているリリース系列に対しては準備が整い次第パッチを追加公開する方針を示している。すでにサポートが終了している古いバージョンを利用しているユーザーに対しては、同社のテクニカルアシスタンスセンター（TAC）へ連絡してアップグレードの選択肢を相談するよう求めている。

パッチ未適用時の回避策と侵害の検知方法

修正プログラムを直ちに適用できないシステム管理者に向けて、Aristaはリスクを低減するための一時的な対策と監視強化を案内している。具体的には以下の措置が推奨されている。

• VCOのWeb管理インターフェースへのアクセスを、信頼できる管理用ネットワークからのみに限定する。
• 既知の悪意あるIPアドレスからのアクセスを監視する。
• VCOホストから外部への不審なアウトバウンド通信を監視し、通常運用に不要な送信ポートの遮断を検討する。
• バックドアデーモンやWebシェルの設置がないか監視体制を強化する。
• 直近の管理者アカウントのアクティビティを点検し、予期しない変更が行われていないか確認する。

また、単一の痕跡だけで侵害を断定できる指標はないとしつつも、Webアクセスログにおいて不自然なURLパス、エンコードされた文字列、内部サービスへの参照、急激なアクセス増加などが見られないか確認することを求めている。同社が挙げている具体的な侵害指標（IoC）は以下の通りである。

• 不審なファイル: /usr/local/sbin/.vcnode.js
• 不審なファイル: /usr/local/sbin/vc-sysmond（MD5ハッシュ値: dc78e206eaeadec59fc5801fe4556bd0）
• 不審なサービス設定: /etc/systemd/system/vc-sysmon.service
• nginxログ内の特定HTTPヘッダー: x-vc-opt
• 関連IPアドレス: 142.93.149[.]77、104.248.126[.]159

これらの痕跡が確認された場合、修復作業を開始する前にVCOのWebアクセスログ、バックエンドアプリケーションログ、システムログ、データベースログ、ファイルシステムのタイムスタンプを保存し、状態を維持したままTACまたは担当のアカウントチームに連絡することが推奨されている。

パッチ適用後の対応としても、認証情報のローテーション、管理者操作の再確認、管理下にあるEdge機器の状態確認、さらには信頼できるソースからのサーバー復元や再構築といったインシデント対応手順の実施を促している。