Arista VeloCloud Orchestrator（オンプレミス版）の CVE-2026-93952: 認証なしで内部の特権機能にアクセスされるおそれ、CVSS 10.0・KEV 掲載

Arista の SD-WAN 管理基盤「VeloCloud Orchestrator（VCO）」のオンプレミス版に、リモートの攻撃者が内部の特権機能にアクセスし、VCO ホストに影響を与えられる脆弱性（CVE-2026-93952、不適切な入力検証）が見つかりました。CISA は 2026-09-22 に既知の悪用がある脆弱性（KEV）として追加しています。Arista を CNA とする CVSS v3.1 は 10.0（AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H）で、認証は不要です。ホスト型（Dedicated を含む）の VCO は影響を受けており、すでに修正済みと説明されています。

概要

項目	内容
CVE	CVE-2026-93952
製品	Arista VeloCloud Orchestrator（オンプレミス版）
問題	不適切な入力検証（CWE-20）。リモートの攻撃者が特権を要する内部機能にアクセスし、VCO ホストに影響を与えうる
攻撃条件	ネットワーク経由。認証・ユーザー操作は不要（攻撃条件の複雑さは v3.1 で低、v4.0 では高と評価が分かれる）
結果	オーケストレーターと、その管理するデータの機密性・完全性・可用性が損なわれる可能性
悪用状況	CISA KEV に 2026-09-22 追加（対応期限 2026-09-25）。ランサムウェア利用は不明。攻撃の手口・規模は未確認

影響範囲

NVD の構成情報では、次の版が対象です。

• 5.2.0 以上 5.2.3.16 未満
• 6.1.0 以上 6.1.3.7 以下
• 6.4.0 以上 6.4.2.8 未満
• 7.0.0 以上 7.0.0.2 以下

ホスト型（Dedicated を含む）の VCO は Arista 側で修正済みと説明されています。オンプレミス版の利用者が対応の対象です。

対策

• Arista のセキュリティ勧告 0183 に従い、修正版へ更新する。各系統の修正版の版番号は、勧告本文を確認できていないため未確認。NVD の範囲上は、5.2 系は 5.2.3.16、6.4 系は 6.4.2.8 が修正境界と読み取れる。
• オーケストレーターの管理画面・API をインターネットに公開していないか確認し、公開が不要なら管理用ネットワークに限定する。
• CISA は KEV の対応として、ベンダーの手順に沿った緩和と、フォレンジックのトリアージ（侵害の痕跡の確認）を求めている。更新前後の不審なアクセス・設定変更・管理者の追加がないかを点検する。
• 緩和策が用意できない場合は、製品の利用中止を検討する（CISA の要求事項）。

数値と出典（2026-11-03 時点）

項目	内容
NVD の状態	Analyzed（2026-09-22 公開）
CVSS v3.1	10.0（Arista による。AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H）
CVSS v4.0	9.5（Arista による。AV:N/AC:H/AT:N/PR:N/UI:N）
CWE	CWE-20
EPSS	0.0138（パーセンタイル 0.722、2026-11-02 時点）
KEV	2026-09-22 追加、期限 2026-09-25、ランサムウェア利用は不明
出典	NVD、CISA KEV、Arista セキュリティ勧告 0183、FIRST

未確認の点

• Arista 勧告 0183 の本文（各系統の修正版の版番号、緩和策、侵害の痕跡）。
• 攻撃の標的・規模・手口。
• 悪用される具体的な機能や経路。
• ランサムウェアでの利用の有無（KEV 上は「不明」）。