대상 독자: Arista의 SD-WAN 관리 플랫폼 VeloCloud Orchestrator(VCO)를 자체 인프라에서 운영하는 네트워크 및 보안 팀. 이 페이지는 Arista의 보안 권고문과 CISA의 공개 데이터를 바탕으로 작성되었습니다. 공격이 어떻게 이루어지는지는 다루지 않습니다.
진행 중: 추가 정보가 나오면 이 페이지를 갱신합니다
2026년 10월 24일 03:45 UTC 기준아직 알려지지 않음
- 악용이 언제 시작되었는지, 배후가 누구인지
- 7.0 트레인이 목록에 없는 이유, 7월과 9월 결함에 대한 7.0 수정 버전
- 9월 결함(CVE-2026-93952)의 6.1 트레인 수정 릴리스
- 일본 공공기관(JPCERT/CC, IPA)의 권고
Arista는 10월 22일 보안 권고문 0199(리비전 1.0)를 게시했고, CISA는 10월 23일 이 결함을 KEV에 추가했습니다. 어느 쪽도 악용이 언제 시작되었는지, 배후가 누구인지 밝히지 않았습니다. 권고문과 KEV 항목 모두 공개된 익스플로잇 코드를 언급하지 않습니다. 권고문이 개정되면 이 페이지를 갱신합니다.
오늘 할 일(온프레미스 VCO)
버전을 확인하고 목표 릴리스를 정하기
VCO 버전을 확인하고 아래 표로 옮길 릴리스를 정하십시오. 이 결함의 수정 버전(5.2.3.18, 6.1.3.10, 6.4.2.12)은 7월과 9월의 수정 버전보다 새 것입니다. 그 수정을 적용했더라도 다시 업그레이드해야 합니다.
업그레이드 전에 로그와 파일 타임스탬프 보존
침해가 의심되면 Arista는 조치 전에 VCO 웹 접근 로그, 백엔드 애플리케이션 로그, 시스템 로그, 데이터베이스 로그와 관련 파일 시스템 타임스탬프를 보존하라고 요청합니다. 업그레이드나 재구축으로 덮어써지기 전에 다른 곳에 복사하십시오.
수정 릴리스로 업그레이드
해당 트레인의 최신 수정 릴리스로 옮기십시오. 이 권고문은 목록에 없는 릴리스는 취약하지 않다고 밝히고 있으며 7.0은 목록에 없습니다. 7월과 9월 결함에도 7.0 수정 버전이 기재되어 있지 않으므로 Arista TAC(Technical Assistance Center)에 확인하십시오. 이는 권고문이 아닌 이 사이트의 권장 사항입니다. 지원 종료 버전은 평가되지 않았습니다.
관리 인터페이스에 접근할 수 있는 대상 제한
Arista는 VCO가 기본적으로 노출되어 있으며 어떤 설정으로도 이 노출을 막을 수 없다고 밝혔습니다. VCO 앞단의 방화벽으로 웹 인터페이스 접근을 신뢰할 수 있는 관리 네트워크로 제한하십시오. 제한하기 전에 VeloCloud Edge 장치가 VCO에 연결하는 것처럼 운영에 필요한 연결이 무엇인지 확인하십시오.
침해 징후 점검
아래 절의 점검 항목을 따라 확인하십시오. Arista는 악용이 언제 시작되었는지 밝히지 않았으므로 보관 중인 로그가 허용하는 가장 이른 시점까지 거슬러 올라가십시오. 권고문에는 공격에서 확인된 출발지 주소도 나열되어 있습니다. Arista의 권고문을 열어 그 목록을 자체 로그와 대조하십시오.
사용자 계정 검토
이 결함은 가장 낮은 내장 테넌트 역할인 Enterprise Read Only로도 악용될 수 있습니다. 사용하지 않는 계정, 퇴직자나 외부 계약자의 계정, 공유 계정을 비활성화하고 유지하는 계정의 비밀번호를 검토하십시오.
트레인별 수정 릴리스(권고문 세 건 비교)
각 권고문은 자체 수정 릴리스를 명시합니다. 트레인별로 목표를 하나씩 고를 수 있도록 이 사이트가 Arista의 권고문 세 건을 나란히 정리했습니다.
| 트레인 | 7월: CVE-2026-16812 (SA-0144) | 9월: CVE-2026-93952 (SA-0183) | 10월: CVE-2026-114625 (SA-0199) | 목표 |
|---|---|---|---|---|
| 5.2 | 5.2.3.14 이상에서 수정 | 5.2.3.16 이상에서 수정 | 5.2.3.18 이상에서 수정 | 5.2.3.18 이상 |
| 6.1 | 6.1.3.4 이상에서 수정 | 영향: 6.1.3.7 이하. 6.1 수정 버전 기재 없음 | 6.1.3.10 이상에서 수정 | 6.1.3.10 이상(9월 결함은 Arista TAC에 확인) |
| 6.4 | 6.4.2.4 이상에서 수정 | 6.4.2.8 이상에서 수정 | 6.4.2.12 이상에서 수정 | 6.4.2.12 이상 |
| 7.0 | 영향: 7.0.0.1 이전. 7.0 수정 버전 기재 없음 | 영향: 7.0.0.2 이하. 7.0 수정 버전 기재 없음 | 목록에 없음(권고문은 목록에 없는 릴리스는 취약하지 않다고 밝힘) | Arista TAC에 확인(7월과 9월 모두 7.0 수정 버전 기재 없음) |
| 지원 종료 | 평가되지 않음 | TAC에 문의 | 평가되지 않음 | Arista TAC에 확인 |
9월 권고문(SA-0183)은 다른 트레인의 수정 버전이 "시간이 지나면서 추가될 것"이라고 밝히고 있습니다(리비전 1.1, 10월 24일 확인).
7월 SA-0144
5.2.3.14에서 수정
9월 SA-0183
5.2.3.16에서 수정
10월 SA-0199
5.2.3.18에서 수정(이 버전으로 이동)
Arista가 공개한 내용
- CVE
- CVE-2026-114625
- 유형
- SQL 인젝션(CWE-89)
- 심각도
- CVSS v4.0 9.4, v3.1 9.9(Arista의 점수이며 NVD도 동일하게 기재)
- 영향
- 인증된 모든 사용자가 운영자 권한을 얻고 로컬 "슈퍼유저 운영자"로 가장할 수 있음. 내부 전용 기능에 원격으로 접근할 수 있으며, 오케스트레이터와 이 오케스트레이터가 관리하는 데이터의 기밀성, 무결성, 가용성이 침해될 수 있음
- 요건
- VCO 웹 인터페이스에 대한 네트워크 접근과 유효한 인증 세션. 최소 역할은 가장 낮은 내장 테넌트 역할인 Enterprise Read Only. VCO는 기본적으로 노출되어 있으며 어떤 설정으로도 노출을 막을 수 없음
- 영향 범위
- VeloCloud Orchestrator On-Prem: 5.2.3.18 이전의 5.2.x, 6.1.3.10 이전의 6.1.x, 6.4.2.12 이전의 6.4.x. 7.0 트레인은 목록에 없으며, 권고문은 목록에 없는 릴리스는 취약하지 않다고 밝힘. 지원 종료 버전은 평가되지 않음
- 영향 없음
- VeloCloud Edge, VeloCloud Gateway, EOS 기반 Arista 제품 등
- Hosted
- Dedicated를 포함한 Hosted VCO가 영향을 받았으며 이미 패치됨
- 악용
- Arista가 탐지했으며 "실제로 악용되고 있는 것으로 알려져 있음"
CISA는 10월 23일 CVE-2026-114625를 KEV에 추가하고 미국 연방 기관의 기한을 10월 26일로 정했습니다. KEV 항목은 이 결함에 포렌식 선별(forensic triage)이 필요하다고 표시하고 있습니다. 랜섬웨어 사용 여부는 "Unknown"(알 수 없음)으로 기재되어 있습니다.
3개월 사이 악용된 결함 세 건
2026년 7월 27일
Arista가 SA-0144에서 CVE-2026-16812(OS 명령 인젝션, CVSS 10.0)를 공개. 로그인 불필요. 외부에서 발견되었으며 악용이 알려져 있음. CISA가 같은 날 KEV에 추가(기한 7월 30일).8월 3일
SA-0144가 개정되어 Hosted VCO가 영향 플랫폼에 추가됨.9월 22일
Arista가 SA-0183에서 CVE-2026-93952(부적절한 입력 검증, CVSS v3.1 10.0, v4.0 9.5)를 공개. 로그인 불필요. VeloCloud Edge에서 VCO로의 인증서 기반 인증이 구성된 경우에 해당. 외부에서 발견되었으며 악용이 알려져 있음. CISA가 같은 날 KEV에 추가(기한 9월 25일).10월 22일
Arista가 SA-0199에서 CVE-2026-114625(SQL 인젝션, CVSS v4.0 9.4)를 공개. Arista가 직접 탐지했으며 악용이 알려져 있음.10월 23일
CISA가 KEV에 추가(기한 10월 26일).
7월과 9월 결함은 로그인이 필요 없고, 10월 결함은 로그인이 필요합니다. 버그 유형은 다르지만 세 권고문 모두 같은 결과를 설명합니다. VCO 호스트에 영향을 줄 수 있는 내부 전용 기능에 대한 원격 접근입니다. 세 건 모두 웹 인터페이스를 관리 네트워크로 제한하는 것과 같은 임시 통제를 공통으로 나열합니다.
침해 여부 점검 방법(권고문 기준)
수정하기 전에 증거를 보존하십시오
Arista는 침해가 의심되는 운영자에게, 운영상 가능한 경우 조치 전에 VCO 웹 접근 로그, 백엔드 애플리케이션 로그, 시스템 로그, 데이터베이스 로그와 관련 파일 시스템 타임스탬프를 보존하라고 요청합니다. 먼저 업그레이드하거나 재구축하면 조사에 필요한 자료가 사라집니다.
| 확인 위치 | 점검 내용(권고문 기준) |
|---|---|
| 웹 접근 로그 | 비정상적인 URL 형태의 경로 구성 요소, 인코딩된 문자, 로컬 또는 내부 서비스에 대한 참조, 높은 요청 빈도 |
| 출발지 주소 | 권고문에 나열된 공격 출처로부터의 연결(Arista 권고문의 목록 확인) |
| VCO에서 나가는 트래픽 | 예기치 않은 외부 연결. 정상 운영에 필요하지 않은 아웃바운드 포트 차단 검토 |
| 호스트 | 백도어 데몬과 웹셸 |
| 관리자 활동 | 팀 내 누구도 하지 않은 최근 변경 |
7월(SA-0144)과 9월(SA-0183) 권고문에는 더 많은 항목이 있습니다. 관리자 작업과 일치하지 않는 민감한 구성 변경, 예기치 않은 명령 실행, 파일 생성, 데이터베이스 내보내기나 아카이브, 데이터베이스 내용, 구성, 장치 목록, 자격 증명, 인증서 또는 키에 대한 예기치 않은 접근입니다. SA-0183은 구체적인 파일 및 로그 흔적도 나열합니다. 이를 발견하면 Arista는 VCO의 상태를 보존하고 Arista TAC에 문의하라고 요청합니다.
침해를 발견한 경우
7월과 9월 권고문에는 조치 후 단계가 나열되어 있습니다. 침해된 VCO는 공격자에게 VeloCloud Edge 장치에 대한 접근도 줄 수 있다고 경고합니다.
- 자격 증명 교체
- 관리자 활동 검토
- 관리 대상 장치(Edge)의 상태 검증
- 신뢰할 수 있는 출처에서 오케스트레이터를 복원하거나 교체
이 사이트의 견해: 관리 영역은 인터넷에 노출하지 마십시오
VCO는 각 지사의 SD-WAN 장치 구성을 관리하는 곳입니다. Arista 자체 권고문은 침해된 VCO가 관리 대상 Edge 장치를 노출시킬 수 있다고 밝힙니다.
세 권고문 모두 VCO 웹 인터페이스에 대한 네트워크 접근을 요건으로 합니다. 그중 7월과 10월 두 건은 VCO가 기본적으로 노출되어 있으며 어떤 설정으로도 노출을 막을 수 없다고 밝힙니다. 운영자가 네트워크 계층에서 접근을 제한하지 않는 한, 다음 결함도 같은 노출 상태에서 시작됩니다. 3개월에 세 건이라는 빈도에서는 수정을 하나씩 기다리는 것만으로는 충분하지 않습니다.
다음 결함에 노출된 채로 두는 관행
- 관리 인터페이스에 인터넷 어디에서나 접근할 수 있음
- 패치를 적용하면 작업이 끝남
- 읽기 전용 계정은 "아무것도 할 수 없다"며 방치함
- VCO에서 나가는 트래픽에 제한이 없음
다음 결함의 영향을 줄이는 관행
- 관리 인터페이스는 관리 네트워크나 VPN에서만 접근 가능
- 업그레이드할 때마다 로그를 보존하고 침해 징후를 검토함
- 계정을 정기적으로 검토하고 사용하지 않는 계정은 비활성화함
- VCO에서 나가는 트래픽을 운영에 필요한 대상으로 제한함
VPN과 방화벽 관리 인터페이스에서도 같은 패턴이 반복되고 있습니다. 인터넷에 노출된 관리 인터페이스를 찾고 보호하는 방법은 VPN 장비 원격 접속 방어를 참고하십시오. KEV 등재 항목이 처리 순서 맨 앞으로 오는 이유는 CVSS, EPSS, KEV로 패치 우선순위 정하기를 참고하십시오.
아직 알려지지 않은 사항
| 항목 | 상태 |
|---|---|
| 실제 악용 | 확인됨(Arista, CISA) |
| 악용이 언제 시작되었는지, 배후가 누구인지 | 밝혀지지 않음 |
| 영향받은 조직 수 | 밝혀지지 않음 |
| 공개된 익스플로잇 코드 | 밝혀지지 않음(권고문과 KEV) |
| 7.0 트레인이 목록에 없는 이유 | 밝혀지지 않음(권고문은 목록에 없는 릴리스는 취약하지 않다고 밝힘) |
| 9월 결함의 6.1 및 7.0 수정 버전 | 기재되지 않음("시간이 지나면서 추가될 것") |
| 일본 공공기관 권고 | 10월 24일 기준 JPCERT/CC나 IPA의 경보는 확인되지 않음 |
VCO를 사용하는 조직 목록은 공개된 바 없으며, 이 사이트는 특정 사용자를 추측하지 않습니다.
출처
- Arista, "Security Advisory 0199" (CVE-2026-114625, 2026년 10월 22일, 리비전 1.0) — arista.com
- Arista, "Security Advisory 0183" (CVE-2026-93952, 2026년 9월 22일, 리비전 1.1) — arista.com
- Arista, "Security Advisory 0144" (CVE-2026-16812, 2026년 7월 27일, 리비전 1.2) — arista.com
- CISA, "Known Exploited Vulnerabilities Catalog" (CVE-2026-114625) — cisa.gov
- NVD, "CVE-2026-114625" — nvd.nist.gov
업데이트 이력
2026-10-24: Arista의 권고문 세 건(SA-0144, SA-0183, SA-0199)과 CISA의 KEV 카탈로그를 바탕으로 최초 게시.
함께 읽기
- 인터넷에 노출된 장비 보호: VPN 장비 원격 접속 방어
- 우선순위 정하기: CVSS, EPSS, KEV로 패치 우선순위 정하기
- 침해 여부 점검: 서버가 해킹당했는지 확인하는 방법
- 같은 주의 또 다른 긴급 결함: PHP CVE-2026-109618 및 CVE-2026-109619
- 용어: SQL 인젝션이란? / CVSS란?