アリスタの管理システム「VeloCloud Orchestrator」オンプレミス版に深刻な脆弱性、実攻撃への悪用でCISAが警告

要点

• アリスタ・ネットワークスの「VeloCloud Orchestrator」オンプレミス版に、リモートからシステムコマンドを実行できる重大な脆弱性が判明した。

• 本脆弱性はすでに実際のサイバー攻撃において悪用されている事実が確認されている。

• 脆弱性の深刻度を評価するCVSSスコアでは、最大値となる極めて危険な「10.0」と判定されている。

• クラウド上で稼働するホスト型や専用型については、本通知の公表前にすでに修正パッチの適用が完了している。

• アメリカのサイバーセキュリティ機関（CISA）は本件を緊急の脅威と認定し、3日以内の速やかな対策または使用中止を求めている。

• 米サイバーセキュリティ・インフラセキュリティ庁（CISA）とネットワーク機器大手のアリスタ・ネットワークス（Arista Networks）は2026年7月27日、ネットワーク管理システム「VeloCloud Orchestrator」のオンプレミス版に重大な脆弱性が存在することを公表した。すでに実際のサイバー攻撃への悪用が確認されており、CISAは同日付で「悪用が確認されている脆弱性カタログ」に登録。管理者へ迅速な対応を求めている。

脆弱性が発見された対象製品と背景

対象製品である「VeloCloud Orchestrator（VCO）」は、SD-WAN（ソフトウェア制御によって仮想的なネットワークを一元管理する技術）環境を設定・運用するためのプラットフォームである。

今回、脆弱性の影響を受けることが明らかになったのは、ユーザーが自社のサーバーや設備に導入して運用する「オンプレミス（on-prem）」型のVCOシステムである。一方で、クラウド環境で提供される「Hosted（ホスト型）」バージョンおよび「Dedicated（専有型）」バージョンについては、本脆弱性の告知に先立って事前に修正パッチ（不具合を解消するためのアップデートプログラム）が適用されており、すでに安全が確保されているという。

この脆弱性は外部の調査によって発見されたもので、アリスタ・ネットワークスにより識別番号「CVE-2026-16812」として公表された。

脆弱性の仕組みと発生し得る被害

今回の脆弱性は、外部からの入力情報を適切に処理しないことで攻撃者によるOSへの操作命令の実行を許してしまう「OSコマンドインジェクション（CWE-78）」に分類される。

元記事の説明によると、本来はシステム内部でのみ使用されることを想定し、外部からのアクセスを遮断すべき機能が、リモートからアクセス可能な状態になっていたことが原因だという。

この脆弱性が悪用された場合、遠隔の攻撃者が本来アクセスできないはずの特権的な内部機能に侵入し、VCOのホストサーバーに重大な影響を及ぼす可能性がある。これにより、オーケストレーター自体の機密性（データが漏洩しない状態）、完全性（データが改ざんされない状態）、および可用性（システムが安定して稼働し続ける状態）のすべてが侵害され、システムや管理されている組織のデータ全体が奪われるなどの致命的な被害が生じる恐れがある。

最大値「10.0」を示す深刻度スコア

本脆弱性の危険度は非常に高い。脆弱性の深刻度を示す共通基準「CVSS（共通脆弱性評価システム）」において、アリスタ・ネットワークスが評価した「CVSS 4.0」および「CVSS 3.1」のベーススコアはいずれも最大値である「10.0 CRITICAL（緊急）」と判定された。

また、CISAが脅威レベルを評価するプロセスにおいても、ネットワーク経由の自動攻撃が可能であることや、システムが受ける影響が壊滅的であることなどが定義されており、危険性の高さが示されている。

米CISAによる対応要請と異例の「3日以内」という期限

この深刻な事態を受け、米CISAは2026年7月27日に本脆弱性を「悪用が確認されている脆弱性カタログ（KEV）」に追加した。KEVに登録された脆弱性は、サイバー攻撃者によって現時点で標的とされていることを意味するため、組織には迅速な対応が求められる。

CISAが設定した対応期限は2026年7月30日となっており、登録からわずか3日間という極めて短い期間内での対応を命じている。対象となる組織は、ベンダーから提供される指示に従ってただちに脆弱性の緩和策を講じるか、もしもすぐに緩和策を適用できない場合には、製品の使用自体を中止しなければならない。

また、管理者は各資産のインターネット露出度を評価し、リスクに基づくアップデートの優先順位付けや「フォレンジック・トリアージ要件」といったガイドラインを遵守することが求められている。

補足

本脆弱性は、告知前にすでに攻撃が開始されているゼロデイ攻撃の状態であったため、オンプレミス版VCOの管理者は速やかに公式のアドバイザリー情報を確認し、自社システムの安全確保とログの監査に着手する必要がある。