情報取得日: 2026/07/27／最終確認: 2026/08/01・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2026-16812 |
|---|---|
| 製品 | Arista Networks / VeloCloud Orchestrator (VCO) On-Prem 5.2.0〜5.2.3.14未満 / 6.1.0〜6.1.3.4未満 / 6.4.0〜6.4.2.4未満 / 7.0.0〜7.0.0.1未満 |
| CVSS | 10.0（Critical） CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H |
| 種別 (CWE) | CWE-78（OSコマンドインジェクション） |
| 登録／公開日 | 2026/07/27 |
| KEV 期限 | 2026/07/30 まで（米国連邦機関向け目安） |
| 推奨対応 | ベンダーの指示に従って緩和策を適用する。CISA BOD 26-04 のパッチ適用指針に従い、緩和策が無い場合は製品の使用を停止する。 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2026-16812 |
SD-WAN の集中管理基盤である VeloCloud Orchestrator のオンプレミス版に、OS コマンドインジェクションの欠陥がある。VCO の Web インターフェースへネットワーク到達できれば、認証情報を一切持たない攻撃者が特権的な内部機能へ到達し、VCO ホスト上で任意のコマンドを実行できる。NVD の CVSS 3.1 基本値は 10.0（AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H）で、スコープ変更を伴う最大値である。CVSS 4.0 でも 10.0 と評価されている。 VCO は配下の SD-WAN Edge を集中管理する立場にあるため、VCO の侵害は個別機器の侵害にとどまらず、拠点間ネットワーク全体の構成変更やトラフィック操作に波及しうる。Arista は 2026年7月27日に Security Advisory 0144 を公開し、同日 CISA が KEV カタログへ追加した。つまり公開時点で既に実際の攻撃が確認されている、いわゆるゼロデイ悪用である。是正期限は 2026年7月30日と短い。 影響を受けるのは VeloCloud Orchestrator On-Prem のみで、EOS 搭載製品・CloudVision・NDR は対象外である。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | ベンダーFW更新 |
VCO を EC2 等の自前インスタンスで運用している場合、AWS 側に修正は無い。Arista が提供する VCO のファームウェア／ソフトウェアを 5.2.3.14 / 6.1.3.4 / 6.4.2.4 / 7.0.0.1 以降へ更新する。
AWS のマネージドサービスに VCO は含まれない。セキュリティグループで VCO の管理インターフェースへの到達元を管理ネットワークに限定することが、更新までの緩和策として有効。
参照リンク
|
| GCP | ベンダーFW更新 |
GCP 上の VM で VCO を運用している場合も同様に、Arista の修正版へ更新する。GCP 側の修正は存在しない。
VPC ファイアウォールルールで VCO の Web インターフェースへの ingress を管理ネットワークのみに絞る。
参照リンク
|
| Azure | ベンダーFW更新 |
Azure 上の VM で VCO を運用している場合も、Arista の修正版へ更新する。Azure 側の修正は存在しない。
ネットワークセキュリティグループで VCO の管理インターフェースへの到達元を限定する。
参照リンク
|
| Linux | ベンダーFW更新 |
VCO は Arista が提供するアプライアンス／仮想アプライアンスである。ディストリビューションのパッケージ更新では修正されない。ベンダー提供の修正版へ更新する。
Ubuntu USN / Red Hat RHSA / Debian security tracker のいずれにも該当エントリは無い（ディストリのパッケージではないため）。
参照リンク
|
対象は VCO On-Prem のみなので、まず自組織が VCO をオンプレミスで運用しているかを切り分ける。運用している場合は、系列ごとに 5.2.3.14 / 6.1.3.4 / 6.4.2.4 / 7.0.0.1 以降へ更新する。既に悪用が確認されているため、更新は最優先で行う。 更新までのあいだの緩和策として、VCO の Web インターフェースへの到達経路を信頼できる管理ネットワークからのみに限定する。インターネットへ直接公開している構成が最も危険である。あわせて、Web アクセスログの異常、VCO ホストからの想定外の外部接続、身に覚えのない管理操作を監視する。Arista は攻撃元として3つの IP を特定しているが、単一の決定的な侵害指標は示していないため、ログ全体を見る必要がある。 ゼロデイ悪用であるため、パッチ適用は「対応完了」ではなく「これ以上入られないための措置」である。適用前に到達可能だった期間がある場合は、侵害の有無を前提に調査する。
Critical（CVSS 10.0）に分類されるArista Networks VeloCloud Orchestrator (VCO) On-Prem 5.2.0〜5.2.3.14未満 / 6.1.0〜6.1.3.4未満 / 6.4.0〜6.4.2.4未満 / 7.0.0〜7.0.0.1未満の脆弱性です。SD-WAN の集中管理基盤である VeloCloud Orchestrator のオンプレミス版に、OS コマンドインジェクションの欠陥がある。VCO の Web インターフェースへネットワーク到達できれば、認証情報を一切持たない攻撃者が特権的な内部機能へ到達し、VCO ホスト上で任意のコマンドを実行できる。NVD の CVSS 3.1 基本値は 10.0（AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H）で、スコープ変更を伴う最大値である。CVSS 4.0 でも 10.0 と評価されている。 VCO は配下の SD-WAN Edge を集中管理する立場にあるため、VCO の侵害は個別機器の侵害にとどまらず、拠点間ネットワーク全体の構成変更やトラフィック操作に波及しうる。Arista は 2026年7月27日に Security Advisory 0144 を公開し、同日 CISA が KEV カタログへ追加した。つまり公開時点で既に実際の攻撃が確認されている、いわゆるゼロデイ悪用である。是正期限は 2026年7月30日と短い。 影響を受けるのは VeloCloud Orchestrator On-Prem のみで、EOS 搭載製品・CloudVision・NDR は対象外である。
対象は VCO On-Prem のみなので、まず自組織が VCO をオンプレミスで運用しているかを切り分ける。運用している場合は、系列ごとに 5.2.3.14 / 6.1.3.4 / 6.4.2.4 / 7.0.0.1 以降へ更新する。既に悪用が確認されているため、更新は最優先で行う。 更新までのあいだの緩和策として、VCO の Web インターフェースへの到達経路を信頼できる管理ネットワークからのみに限定する。インターネットへ直接公開している構成が最も危険である。あわせて、Web アクセスログの異常、VCO ホストからの想定外の外部接続、身に覚えのない管理操作を監視する。Arista は攻撃元として3つの IP を特定しているが、単一の決定的な侵害指標は示していないため、ログ全体を見る必要がある。 ゼロデイ悪用であるため、パッチ適用は「対応完了」ではなく「これ以上入られないための措置」である。適用前に到達可能だった期間がある場合は、侵害の有無を前提に調査する。
Arista Networks VeloCloud Orchestrator (VCO) On-Prem 5.2.0〜5.2.3.14未満 / 6.1.0〜6.1.3.4未満 / 6.4.0〜6.4.2.4未満 / 7.0.0〜7.0.0.1未満 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-16812）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/07/30 です。推奨される対応: ベンダーの指示に従って緩和策を適用する。CISA BOD 26-04 のパッチ適用指針に従い、緩和策が無い場合は製品の使用を停止する。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください（最終確認: 2026/08/01）。