네트워크 장비 기업 Arista Networks가 VeloCloud Orchestrator(기업용 SD-WAN 관리 플랫폼)에서 발견된 최고 심각도 취약점(CVE-2026-93952)에 대한 보안 패치를 배포했습니다. 이 취약점은 이미 실제 공격에 악용되고 있으며, 공격자가 계정이나 사용자 개입 없이도 VCO 시스템 내부 기능에 무단 접근할 수 있게 합니다. 미국 사이버보안 인프라보안국(CISA)도 해당 취약점을 '실제 악용 확인 목록(KEV)'에 등재하고 연방 기관에 9월 25일까지 조치를 완료하도록 명령했습니다. VCO를 온프레미스(자체 서버)로 운영하는 기관은 즉시 패치를 적용하거나, 패치 전까지 웹 인터페이스 접근을 관리 네트워크로 제한해야 합니다. Arista는 침해 의심 시 로그를 보존하고 TAC에 연락할 것을 권고했습니다.
Arista VeloCloud Orchestrator(VCO) 온프레미스 배포판에서 최고 심각도 취약점 CVE-2026-93952가 발견되었으며, 이미 외부 공격자에 의해 실제 악용 중임이 확인됐다. 해당 결함은 입력 값 검증 부재(Improper Input Validation)로 인해 발생하며, VeloCloud Edge-VCO 간 인증서 기반 인증이 설정된 환경에 영향을 준다.
원격 공격자가 별도 계정·권한·사용자 개입 없이 VCO 내부 호스트의 특권 기능에 접근 가능하다. 전 세계 10,000개 이상의 Arista 고객사가 잠재적 위험에 노출될 수 있으며, CISA는 미 연방 기관에 9월 25일까지 조치를 명령했다.
VeloCloud Edge 인증서의 공개(public) 부분에 접근 가능하면 공격이 성립하는 구조적 입력 검증 취약점이 원인이다. VCO 웹 인터페이스에 대한 네트워크 접근만 있으면 테넌트 또는 운영자 자격증명 없이도 악용 가능하다.
Arista는 호스팅 배포판(VCO 5.2.3.16 이상, 6.4.2.8 이상)에 이미 패치를 적용했으며, VCO 6.1.3.7 이하·7.0.0.2 이하 버전용 패치도 추가 배포 예정이다. 패치 전까지는 VCO 웹 인터페이스 접근을 관리 네트워크로 제한하고, 악성 IP(142[.]93.149.77, 104[.]248.126.159) 차단 및 nginx 로그의 x-vc-opt 헤더 검토가 권고된다.
VCO를 온프레미스로 운영 중이라면 즉시 패치 버전 확인 및 업그레이드가 최우선이다. 패치 적용 전에는 웹 인터페이스를 외부에서 차단하고, 비정상적인 URL 패턴·인코딩 문자·고속 요청 등 의심 접근 로그를 점검해야 한다. 침해가 의심되면 로그와 파일시스템 타임스탬프를 보존한 뒤 Arista TAC에 연락한다.
본문
Arista Networks가 VeloCloud Orchestrator(VCO) 온프레미스 배포판에 영향을 미치며 현재 실제 공격에 악용되고 있는 제로데이 취약점에 대한 보안 패치를 배포했습니다.
VCO는 클라우드 기반 중앙 관리 플랫폼으로, 관리자가 VeloCloud SD-WAN(소프트웨어 정의 광역 네트워크) 및 연결된 엣지 장치를 구성·모니터링·관리할 수 있도록 지원합니다.
CVE-2026-93952로 추적되는 이 최고 심각도 취약점은 부적절한 입력 값 검증(Improper Input Validation) 취약점에서 비롯되며, VeloCloud Edge와 VeloCloud Orchestrator(VCO) 간 인증서 기반 인증이 구성된 VCO 배포 환경에 영향을 줍니다.
원격 위협 행위자는 대상 시스템에 대한 권한이나 사용자 상호작용 없이도 낮은 복잡도의 공격으로 이 취약점을 악용해 VCO 호스트 내부의 특권 기능에 접근할 수 있습니다.
Arista는 화요일 발표한 보안 권고문에서 "이 문제는 외부에서 발견되었으며 현재 실제로 악용되고 있습니다"라고 경고했습니다. "VeloCloud Edge 인증 인증서의 공개 부분에 대한 접근이 필요합니다. 공격이 성공하려면 VCO 웹 인터페이스에 대한 네트워크 접근이 필요합니다. 이 취약점을 악용하는 데 VCO 테넌트 또는 운영자 자격증명은 필요하지 않습니다."
Arista는 VCO 5.2.3.16 이상 및 VCO 6.4.2.8 이상을 실행하는 호스팅 배포판에는 이미 패치를 적용했으며, VCO 6.1.3.7 이하 및 7.0.0.2 이하 버전을 실행하는 인스턴스에 대한 보안 패치도 추가 배포할 예정이라고 밝혔습니다.
미국 사이버보안 인프라보안국(CISA)도 화요일 CVE-2026-93952를 알려진 악용 취약점(KEV) 목록에 추가하고, 미 연방 민간 행정부 기관에 9월 25일 금요일까지 네트워크를 보호하도록 명령했습니다.
침해 지표(Indicators of Compromise)
보안 패치가 배포되는 동안 관리자는 VCO 웹 인터페이스에 대한 접근을 관리 네트워크로 제한하고, 최근 관리자 활동에서 비정상적인 변경 사항이 있는지 검토하며, 알려진 악성 IP 주소로부터의 연결을 모니터링해야 합니다.
관리자는 VCO 웹 접근 로그에서 인코딩된 문자가 포함된 요청, 비정상적인 URL 형태의 경로 구성요소, 로컬 또는 내부 서비스 참조, 또는 높은 요청 빈도와 같은 의심스러운 활동을 검토해야 합니다.
Arista는 보안팀에게 142[.]93.149.77 및 104[.]248.126.159 IP 주소를 차단하고 nginx 로그에서 x-vc-opt HTTP 헤더를 검토하도록 권고했으며, VCO 호스트에서 발생하는 예상치 못한 아웃바운드 HTTP 또는 HTTPS 활동도 추가 검토가 필요할 수 있다고 밝혔습니다.
Arista는 또한 "침해가 의심되는 경우, 운영상 가능하다면 복구 작업 전에 VCO 웹 접근 로그, 백엔드 애플리케이션 로그, 시스템 로그, 데이터베이스 로그, 관련 파일시스템 타임스탬프를 보존해야 한다"고 덧붙이며, 추가 지원이 필요한 고객은 Arista Networks 기술 지원 센터(TAC)에 연락할 것을 권고했습니다.
올해 들어 Arista는 실제 공격에 악용되고 있던 두 건의 제로데이 취약점을 추가로 패치했습니다. 각각 5월의 CVE-2026-7473(Extensible Operating System(EOS) 영향)과 7월의 CVE-2026-16812(온프레미스 VeloCloud Orchestrator 배포판 영향)입니다.
Arista Networks는 포춘 500대 기업이자 미국 최대 매출 기업 중 하나로, 전 세계 10,000개 이상의 고객사를 보유하고 있습니다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
