最近の脆弱性 › CVE-2026-93952
Arista VeloCloud Orchestrator の脆弱性（CVE-2026-93952）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
基本情報（データから表示）
| CVE番号 | CVE-2026-93952 |
|---|---|
| 製品 | Arista VeloCloud Orchestrator |
| 深刻度（CVSS） | 10.0 緊急CVSS v3.1 NVD に登録された、他の機関（開発元など）による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H |
| KEVへの追加日 | 2026-09-22 |
| 米国政府機関の対応期限 | 2026-09-25 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-20 |
何が起きた
Arista の VeloCloud Orchestrator（VCO）のオンプレミス版に、受け取ったデータの確認が不十分な弱点が見つかり、実際に悪用が確認されています。離れた場所にいる攻撃者に、本来は内部だけで使う特別な機能に入られ、VCO のサーバーに影響を与えられるおそれがあります。この弱点を突かれるのは、VeloCloud Edge から VCO への証明書による認証を設定している場合です。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
自社のサーバーに設置して使うオンプレミス版の VeloCloud Orchestrator の、5.2.3.15 以前、6.1.3.7 以前、6.4.2.7 以前、7.0.0.2 以前が影響を受けます。Arista が提供するホスト型（Dedicated を含む）は、すでに修正済みです。
何をすればいい
5.2 系は 5.2.3.16 以降、6.4 系は 6.4.2.8 以降へ更新してください。6.1 系と 7.0 系は修正版がまだないため、メーカーのサポートに相談しましょう。あわせて、メーカーが公表した不審なファイルやログの痕跡がないかを確かめてください。
やることチェックリスト
- 5.2.3.16以降か6.4.2.8以降に更新する
- 証明書による認証の設定があるか確かめる
- メーカーが示した不審なファイルがないか調べる
用語メモ
- オンプレミス
- 製品を自社のサーバーに設置して使う形のことです。
- VCO
- VeloCloud Orchestrator の略で、拠点をつなぐネットワークをまとめて管理する製品です。
元データ（英語・CISA KEV より）
Arista VeloCloud Orchestrator Improper Input Validation Vulnerability
概要
Arista VeloCloud Orchestrator (VCO) on-prem contains an improper input validation vulnerability that may allow a remote attacker to access privileged internal functionality and impact the VCO host. Successful exploitation may compromise the confidentiality, integrity, and availability of the orchestrator and data managed by the orchestrator.
推奨対応
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.