Arista VeloCloud Orchestrator の未認証OSコマンドインジェクション CVE-2026-16812 - CVSS満点10.0が示す回避策なき危険度
OSコマンドインジェクションの原理を学べる定番書。
侵害確認・IoC調査の手順を学べる一冊。
SD-WANを理解する前提のネットワーク基礎に。
当サイトは Amazon.co.jp を宣伝しリンクすることで紹介料を得る手段を提供する、Amazonアソシエイト・プログラムの参加者です。価格・在庫はリンク先の最新情報をご確認ください。
SD-WAN環境を一元管理するオーケストレーション基盤に、認証情報を一切必要としないOSコマンドインジェクションが見つかった。しかもそれは既に実環境で悪用されている。Aristaが2026年7月27日に公開したセキュリティアドバイザリ0144は、そういう内容です。
対象はArista VeloCloud Orchestrator(VCO)のオンプレミス版。多数の拠点のSD-WANエッジ機器を集中管理するWebベースの管理プラットフォームです。CVE番号はCVE-2026-16812、CVSSスコアはバージョン3.1・4.0のいずれでも満点の10.0。米CISAはアドバイザリ公開と同じ日にこれをKnown Exploited Vulnerabilities(KEV)カタログへ追加し、連邦民間行政機関(FCEB)に対して2026年7月30日までという極めて短い対応期限を課しました。
本記事ではArista公式アドバイザリ、NVD、CISA KEVカタログという一次情報を基に、何が起きたのか、どのバージョンが対象なのか、そして運用者が今すぐ何をすべきかを整理します。
WARNING
この脆弱性は既に実環境で悪用が確認されています。Aristaは「この脆弱性に対処する回避策は存在しない」としており、パッチ適用が唯一の恒久対策です。VCO Webインターフェースがインターネットから到達可能な環境は、記事後半の侵害確認手順を最優先で実施してください。
NOTE
本記事の数値・バージョン・日付は、Arista Security Advisory 0144(BUG 1901675)とCISA KEVカタログのデータで確認したものです。攻撃者の身元、悪用開始の正確な日時、具体的な攻撃手法・ペイロード、影響を受けた組織数は公開情報で確定できないため、本文で「未確認」と明示しています。
概要(まず結論)
| 項目 | 内容 |
|---|---|
| CVE | CVE-2026-16812 |
| アドバイザリID | Arista Security Advisory 0144(BUG 1901675) |
| CVSS基本値(v3.1) | 10.0(Critical) |
| CVSSベクタ(v3.1) | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H |
| CVSS基本値(v4.0) | 10.0(Critical) |
| CWE | CWE-78(OSコマンドインジェクション) |
| 対象製品 | VeloCloud Orchestrator(VCO)オンプレミス版 |
| 影響バージョン | 5.2.x(5.2.3.14未満)、6.1.x(6.1.3.4未満)、6.4.x(6.4.2.4未満)、7.0.0 |
| 修正バージョン | 5.2.3.14 / 6.1.3.4 / 6.4.2.4 / 7.0.0.1 以降 |
| 回避策 | なし |
| 悪用状況 | 実環境で積極的に悪用中とAristaが公表 |
| CISA KEV | 2026年7月27日追加、連邦機関対応期限2026年7月30日 |
| 公開日 | 2026年7月27日(2026年8月3日にRevision 1.1へ更新) |
CVSSベクタを読むとAV:N/AC:L/PR:N/UI:N、つまりネットワーク越しに、特別な条件も権限も、ユーザーの操作すら不要で攻撃が成立するという前提が並びます。加えてS:C(Scope Changed)は、脆弱なコンポーネント自身のセキュリティ境界を越えて、他のコンポーネントにまで影響が及ぶことを意味します。VCOがSD-WANエッジ機器を集中管理する基盤である以上、この評価は実態に即しています。C:H/I:H/A:Hと機密性・完全性・可用性のすべての項目が最大評価であることも合わせ、CVSSが取りうる最大値である10.0という結果は、評価基準上の必然といえます。
何が起きたか(タイムライン)
| 日付 | 出来事 |
|---|---|
| 2026年7月27日 | AristaがSecurity Advisory 0144(BUG 1901675)を公開。CISAが同日CVE-2026-16812をKEVカタログへ追加 |
| 2026年7月30日 | CISA KEVに基づく連邦民間行政機関の対応期限 |
| 2026年8月3日 | アドバイザリがRevision 1.1に更新 |
注目すべきはアドバイザリ公開と同日にKEV入りしていることです。KEVへの追加は原則として悪用の証拠が確認できたものに限られるため、公表そのものが実悪用への緊急対応だったことがうかがえます。対応期限も公開からわずか3日と極端に短く、これは今まさに攻撃を受けているという認識の表れと読めます。同様に短期限のKEV追加が行われた事例としては、Check Point SmartConsoleの認証バイパスCVE-2026-16232が記憶に新しいところです。管理コンソール製品が短期集中で狙われる流れが続いています。
Aristaはアドバイザリのなかで、この脆弱性が「外部で発見され、既に野生で積極的に悪用されている」とのみ説明しています。発見者、悪用が始まった正確な時期、具体的な攻撃手法については公表されておらず、本記事執筆時点で信頼できる一次情報を確認できていません(未確認)。公開されたPoC(概念実証コード)も現時点で確認できておらず、複数のセキュリティメディアも攻撃手法の詳細は非開示だと報じています。
技術的な中身: OSコマンドインジェクション(CWE-78)とは
CWE-78は「OS Command Injection」、日本語では「OSコマンドインジェクション」です。アプリケーションがユーザーからの入力をOSのシェルコマンドの一部として組み立てて実行する際、入力に含まれる特殊文字やコマンド区切り文字を適切に無害化(サニタイズ)しないまま渡してしまうことで発生します。攻撃者は本来意図されていない任意のコマンドを、アプリケーションのプロセスが持つ権限で実行できてしまいます。
この種の脆弱性の危険度を左右する最大の要素が認証の要否です。CVSSベクタのPR:N(Privileges Required: None)が示す通り、CVE-2026-16812はテナントやオペレーターの認証情報を一切必要としません。攻撃者に必要な条件は、VCOのWebインターフェースへネットワーク到達性があることだけです。
なぜこれが特に深刻なのか、整理しておきます。
- 攻撃の敷居がほぼゼロになる: 通常、認証を突破するには漏えいした認証情報の入手やフィッシング、あるいは別の脆弱性の悪用が必要です。未認証で到達可能な入口にコマンドインジェクションが存在すると、その手間が丸ごと不要になります。
- デフォルトで露出しやすい: AristaはVCOのWebインターフェースがデフォルトで公開される構成になっており、設定変更による回避策が存在しない点が特に深刻だとしています。管理者が意図的に何かを間違えたわけではなく、標準構成そのものが攻撃対象になります。
- 集中管理基盤という立ち位置: VCOはSD-WANエッジ機器の設定やポリシーを配布する中枢です。ここが侵害されると、配下の全拠点の通信経路や設定が攻撃者の制御下に置かれかねません。管理コンソールの認証まわりの不備が下流の広範な機器に波及する構図は、VMware vCenterの認証バイパスからRCEへ連鎖したVMSA-2026-0006とも共通します。
未認証のリモートコード実行がなぜこれほど恐れられるのか、構造的な理由についてはSharePointの未認証RCE CVE-2026-45659の解説でも整理しています。あわせて読むと、認証を要求しない入口がなぜ最優先の対応対象になるのかがつかみやすくなります。
影響範囲と対象バージョン
Aristaのアドバイザリによれば、影響を受けるのはVeloCloud Orchestrator(VCO)のオンプレミス版のみで、以下のバージョンが対象です。
| バージョン系統 | 影響を受ける範囲 |
|---|---|
| 5.2.x | 5.2.3.14未満 |
| 6.1.x | 6.1.3.4未満 |
| 6.4.x | 6.4.2.4未満 |
| 7.0.0 | 該当バージョンそのもの |
一方、影響を受けないことが確認された製品・提供形態は次の通りです。
- VCOのHosted版・Dedicated版(いずれも事前にパッチ済みで影響なし。オンプレミス版のみが対象)
- Arista EOSベースの製品群
- CloudVision
- VeloCloud Gateway
- VeloCloud Edge
つまり自社設備としてオンプレミスでVCOを運用している組織に限定された問題です。クラウド提供のHosted/Dedicated版を使っている場合はこの脆弱性の対象外ですが、配下のEdge/Gatewayデバイス自体は脆弱性の対象ではないため、混同しないよう注意が必要です。
悪用状況とCISA KEV
Aristaのアドバイザリは、この脆弱性が既に実環境で悪用されていることを明記しています。観測された攻撃元IPアドレスとして次の3つが公表されています。
- 8.19.75.217
- 206.72.242.124
- 206.72.242.162
これらのIPアドレスからのアクセスや、これに類する不審な通信がないかをログで確認することが、初動の一つになります。ただし攻撃元は変化しうるため、このIPリストへの一致だけを侵害の有無の判断基準にしないことが重要です。
CISA KEVカタログには、追加日2026年7月27日、連邦民間行政機関の対応期限2026年7月30日として記録されています。公開からの猶予がわずか3日という短さは、今回のケースが「発見されたので念のため公表」ではなく、「悪用が進行中なので緊急に周知する」性質のものであることを裏付けています。
なお、影響を受けた顧客数や組織数についてはAristaから公表されておらず、本記事執筆時点で確認できていません(未確認)。
対応策: パッチ・回避策・侵害確認
対応の優先順位は明確です。まずパッチを適用し、パッチが即座に適用できない環境では露出を減らし、並行して侵害の有無を確認します。
1. パッチを適用する唯一の恒久対策は、対象バージョンから修正バージョンへのアップグレードです。
- 5.2.x系は5.2.3.14以降へ
- 6.1.x系は6.1.3.4以降へ
- 6.4.x系は6.4.2.4以降へ
- 7.0.0は7.0.0.1以降へ
WARNING
Aristaは「この脆弱性に対処する回避策は存在しない」と明記しています。以下に挙げる緩和策はあくまで攻撃面を減らすものであり、修正の代替にはなりません。パッチ適用を先送りする根拠にはできません。
- VCOのWebインターフェースへのアクセスを、信頼できる管理ネットワークに限定します。インターネットから直接到達できる状態を避けます。
- 既知の悪性IPアドレス(前掲の3つを含む)からのアクセスがないか、Webアクセスログを監視します。
- VCOホストからの予期しないアウトバウンド通信を監視します。コマンドインジェクションが成立した場合、外部との不審な通信が発生する可能性があります。
Aristaが示している侵害兆候の考え方は次の通りです。
- Webアクセスログに、異常なURLパスやエンコードされた特殊文字を含むリクエストがないか
- バックエンドログに、通常のオーケストレーション処理から外れた不審な実行の痕跡がないか
- データベースのエクスポートやアーカイブ生成の痕跡が、意図しないタイミングで発生していないか
- 認証情報や鍵材料への予期しないアクセスがないか
- 認証情報をリセットします。VCOおよび配下のエッジデバイスに関わる資格情報を対象とします。
- 管理者アカウントの活動履歴を検証し、見覚えのない操作がないかを確認します。
- 管理下にあるエッジデバイスの状態を確認し、意図しない設定変更が加えられていないかを点検します。
証跡を残したまま調査を進めることが重要です。侵害調査とログ保全の一般的な手順の考え方は、参考書籍としても紹介しているCisco FMCのハードコード認証情報CVE-2026-20316の対応手順とも通じるものがあります。同じく管理コンソール製品で認証まわりの不備が実悪用された事例として参考になります。
背景: VeloCloudの買収経緯
VeloCloudというブランド自体には、複数回の買収を経た歴史があります。VMwareが約10年前にVeloCloudを買収してSD-WAN事業に参入し、その後BroadcomによるVMware買収でVeloCloud事業もBroadcomに引き継がれました。そして2025年夏、AristaがBroadcomからVeloCloud事業を買収し、現在のArista VeloCloud Orchestratorという製品名に至っています。
SDxCentralの報道によれば、この脆弱性はArista買収後の初期のセキュリティレビューでは検出されなかったとされています。買収を重ねたソフトウェア資産では、コードベースの来歴が複雑になり、どの部分がどの時点でどれだけ精査されたかの把握が難しくなりがちです。今回のケースは、そうした買収を経た製品の棚卸しの難しさを示す一例といえます。
まとめ
CVE-2026-16812は、SD-WAN管理基盤VeloCloud OrchestratorのWebインターフェースに存在する、未認証で悪用可能なOSコマンドインジェクションです。CVSSはバージョン3.1・4.0のいずれでも満点の10.0、実環境での悪用が確認され、アドバイザリ公開と同日にCISA KEVへ追加されて7月30日という短い対応期限が設定されました。
- 今すぐ確認: オンプレミス版VCOのバージョンを棚卸しし、5.2.3.14未満/6.1.3.4未満/6.4.2.4未満/7.0.0のいずれかに該当していないかを確認する。
- 修正: 5.2.3.14 / 6.1.3.4 / 6.4.2.4 / 7.0.0.1以降へアップグレードする。回避策は存在しない。
- 緩和: Webインターフェースへのアクセスを信頼できる管理ネットワークに限定し、既知の攻撃元IP(8.19.75.217、206.72.242.124、206.72.242.162)や異常な通信を監視する。
- 侵害確認: Webアクセスログ・バックエンドログの異常、DBエクスポートの痕跡、認証情報への予期しないアクセスを点検する。
攻撃者の身元、悪用開始の正確な日時、具体的な攻撃手法・ペイロード、影響を受けた組織数は、一次情報で確定できなかったため本文で「未確認」と明示しました。確定情報は必ずArista公式アドバイザリとCISAの一次情報でご確認ください。国内外のセキュリティ動向を横断的に振り返るには、2026年の主要セキュリティインシデントまとめもあわせてご覧ください。
参考リンク
- Arista Security Advisory 0144
- NVD: CVE-2026-16812
- CISA: Known Exploited Vulnerabilities Catalog(CVE-2026-16812)
- CISA: Adds Two Known Exploited Vulnerabilities to Catalog(2026年7月27日)
- The Hacker News: Attackers Exploit Arista VeloCloud
- BleepingComputer: Arista patches VeloCloud Orchestrator zero-day exploited in attacks
- SecurityWeek: Critical Arista VeloCloud Orchestrator Vulnerability Exploited as Zero-Day
- SDxCentral: Arista Networks patches VeloCloud exploit inherited from Broadcom buy
