VeloCloud Orchestratorのゼロデイ脆弱性に修正、悪用中と報じられる

証明書ベース認証のVCO環境に影響

BleepingComputerによると、Arista NetworksはCVE-2026-93952のセキュリティ修正を公開した。
これは、VeloCloud EdgeとVCOの間で証明書ベース認証を設定したオンプレミス版VeloCloud Orchestratorに影響する、入力検証が不適切な脆弱性だという。

報道では、VCOのウェブインターフェースにネットワーク経由で到達できる攻撃者が、対象システムの権限や利用者の操作なしに、VCOホスト内部の特権機能へアクセスし得るとされる。
Aristaは、VCO 5.2.3.16以降と6.4.2.8以降のホステッド環境を修正済みとし、指定された旧バージョンにも修正を提供する予定だと報じられている。

今回報じられた修正の前は、影響を受けるVeloCloud Orchestrator On-Prem環境に対し、この脆弱性向けに発表された修正はなかった。

Aristaが、CVE-2026-93952の修正を公開または発表したと報じられている。
同社はこの最高深刻度のVeloCloud Orchestrator脆弱性が実際に悪用されていると説明しているという。
報道によれば、CISAもこのCVEを「既知の悪用済み脆弱性」カタログに追加した。

公開証明書とネットワーク到達性が条件

修正提供と、実際の悪用が進行中だとの説明が同時に伝えられた点が重要だ。
報道によれば、VCOのテナントまたは運用者の認証情報は不要とされる一方、Edge認証証明書の公開部分とVCOウェブインターフェースへのネットワークアクセスが必要になる。