--- title: "Arista VeloCloud Orchestrator（オンプレミス版）の CVE-2026-93952: 認証なしで内部の特権機能にアクセスされるおそれ、CVSS 10.0・KEV 掲載" url: https://n-t-p.io/worldsecurity/articles/arista-velocloud-orchestrator-improper-input-validation-cve-2026-93952 lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月3日 updated: 2026年11月3日 severity: 緊急 cve: CVE-2026-93952 --- # Arista VeloCloud Orchestrator（オンプレミス版）の CVE-2026-93952: 認証なしで内部の特権機能にアクセスされるおそれ、CVSS 10.0・KEV 掲載 > **TL;DR:** Arista VeloCloud Orchestrator のオンプレミス版で、リモートの攻撃者が内部の特権機能にアクセスし VCO ホストに影響を与えうる（CVE-2026-93952、CVSS v3.1 10.0・認証不要）。CISA KEV に掲載済み。修正版へ更新し、管理インターフェースの公開範囲を確認する。 **要点** - 不適切な入力検証（CWE-20）。認証・ユーザー操作は不要で、オーケストレーターの機密性・完全性・可用性に影響しうる - CVSS v3.1 10.0（Arista 評価、AV:N/PR:N）。認証不要かつ 9 以上、KEV 掲載のため critical - 対象はオンプレミス版の 5.2.0〜5.2.3.16 未満、6.1.0〜6.1.3.7、6.4.0〜6.4.2.8 未満、7.0.0〜7.0.0.2。ホスト型は修正済み - KEV 2026-09-22 追加、EPSS 0.0138。勧告本文（修正版番号・緩和策）、悪用の手口・規模は未確認 Arista の SD-WAN 管理基盤「VeloCloud Orchestrator（VCO）」のオンプレミス版に、リモートの攻撃者が内部の特権機能にアクセスし、VCO ホストに影響を与えられる脆弱性（CVE-2026-93952、不適切な入力検証）が見つかりました。CISA は 2026-09-22 に既知の悪用がある脆弱性（KEV）として追加しています。Arista を CNA とする CVSS v3.1 は 10.0（AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H）で、認証は不要です。ホスト型（Dedicated を含む）の VCO は影響を受けており、すでに修正済みと説明されています。 ## 概要 | 項目 | 内容 | |---|---| | CVE | CVE-2026-93952 | | 製品 | Arista VeloCloud Orchestrator（オンプレミス版） | | 問題 | 不適切な入力検証（CWE-20）。リモートの攻撃者が特権を要する内部機能にアクセスし、VCO ホストに影響を与えうる | | 攻撃条件 | ネットワーク経由。認証・ユーザー操作は不要（攻撃条件の複雑さは v3.1 で低、v4.0 では高と評価が分かれる） | | 結果 | オーケストレーターと、その管理するデータの機密性・完全性・可用性が損なわれる可能性 | | 悪用状況 | CISA KEV に 2026-09-22 追加（対応期限 2026-09-25）。ランサムウェア利用は不明。攻撃の手口・規模は未確認 | ## 影響範囲 NVD の構成情報では、次の版が対象です。 - 5.2.0 以上 5.2.3.16 未満 - 6.1.0 以上 6.1.3.7 以下 - 6.4.0 以上 6.4.2.8 未満 - 7.0.0 以上 7.0.0.2 以下 ホスト型（Dedicated を含む）の VCO は Arista 側で修正済みと説明されています。オンプレミス版の利用者が対応の対象です。 ## 対策 - Arista のセキュリティ勧告 0183 に従い、修正版へ更新する。各系統の修正版の版番号は、勧告本文を確認できていないため未確認。NVD の範囲上は、5.2 系は 5.2.3.16、6.4 系は 6.4.2.8 が修正境界と読み取れる。 - オーケストレーターの管理画面・API をインターネットに公開していないか確認し、公開が不要なら管理用ネットワークに限定する。 - CISA は KEV の対応として、ベンダーの手順に沿った緩和と、フォレンジックのトリアージ（侵害の痕跡の確認）を求めている。更新前後の不審なアクセス・設定変更・管理者の追加がないかを点検する。 - 緩和策が用意できない場合は、製品の利用中止を検討する（CISA の要求事項）。 ## 数値と出典（2026-11-03 時点） | 項目 | 内容 | |---|---| | NVD の状態 | Analyzed（2026-09-22 公開） | | CVSS v3.1 | 10.0（Arista による。AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H） | | CVSS v4.0 | 9.5（Arista による。AV:N/AC:H/AT:N/PR:N/UI:N） | | CWE | CWE-20 | | EPSS | 0.0138（パーセンタイル 0.722、2026-11-02 時点） | | KEV | 2026-09-22 追加、期限 2026-09-25、ランサムウェア利用は不明 | | 出典 | NVD、CISA KEV、Arista セキュリティ勧告 0183、FIRST | ## 未確認の点 - Arista 勧告 0183 の本文（各系統の修正版の版番号、緩和策、侵害の痕跡）。 - 攻撃の標的・規模・手口。 - 悪用される具体的な機能や経路。 - ランサムウェアでの利用の有無（KEV 上は「不明」）。 ## 出典 - [NVD CVE-2026-93952](https://nvd.nist.gov/vuln/detail/CVE-2026-93952) — NIST NVD - [Arista Security Advisory 0183](https://www.arista.com/en/support/advisories-notices/security-advisory/24765-security-advisory-0183) — Arista - [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-93952) — CISA - [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-93952) — FIRST --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/arista-velocloud-orchestrator-improper-input-validation-cve-2026-93952