Arista의 VeloCloud SD-WAN을 관리하는 서버인 VeloCloud Orchestrator(VCO)에서 최고 위험 등급(CVSS 10.0)의 취약점(CVE-2026-93952)이 발견됐으며, 현재 실제 공격에 악용되고 있습니다. 이 취약점은 인증서 방식으로 Edge 장치 인증을 설정한 환경에서만 노출되며, 로그인 없이도 원격 공격자가 VCO 서버를 완전히 장악할 수 있습니다. VCO가 침해되면 해당 서버가 관리하는 모든 Edge 장치에도 접근이 가능해져 피해가 연쇄적으로 확산될 수 있습니다. 현재 5.2, 6.4 릴리스에는 패치가 나와 있으나 6.1, 7.0 릴리스는 아직 수정 버전이 없습니다. 즉시 패치를 적용하고, 적용 전까지는 VCO 웹 인터페이스 접근을 신뢰된 네트워크로 제한하며 침해 지표를 점검해야 합니다.
Arista VeloCloud Orchestrator(VCO)에서 CVSS 10.0의 심각한 취약점(CVE-2026-93952)이 외부에서 발견됐으며, 2026년 9월 22일 Arista가 실제 악용 중임을 공식 확인했다. 인증서 기반 Edge 인증이 설정된 온프레미스 VCO만 영향을 받는다.
인증 없는 원격 공격자가 VCO 호스트를 완전히 장악할 수 있으며, 이를 통해 VCO가 관리하는 모든 Edge 장치에도 접근이 가능해진다. 백도어·웹쉘 설치, 자격증명 탈취, 네트워크 트래픽 조작 등 연쇄 피해가 우려된다.
VCO의 인증서 기반 Edge 인증 처리 로직에 결함이 있어, 공격자가 Edge 인증서의 공개 부분과 VCO 웹 인터페이스 네트워크 접근만으로 내부 함수를 임의 호출할 수 있다.
5.2(→5.2.3.16 이상)와 6.4(→6.4.2.8 이상) 릴리스 트레인에는 수정 버전이 출시됐다. 6.1, 7.0 트레인은 패치 미출시 상태이며 Arista가 준비 중이다. Arista Hosted·Dedicated 클라우드 버전은 이미 패치됐다.
즉시 수정 릴리스로 업그레이드하고, 불가능한 경우 VCO 웹 인터페이스를 관리 전용 네트워크로 격리해야 한다. 제공된 파일·IP·HTTP 헤더 침해지표를 점검하고, 침해가 의심되면 로그·파일시스템 타임스탬프를 보존한 후 TAC에 연락해야 한다.
본문
Swati Khandelwal · 2026년 9월 22일 · 취약점 / 네트워크 보안
Arista는 9월 22일, VeloCloud SD-WAN의 Edge 장치를 관리하는 서버인 온프레미스 VeloCloud Orchestrator(VCO)에서 새로운 취약점이 악용되고 있다고 밝혔다.
CVE-2026-93952로 추적되는 이 취약점은 로그인 권한이 없는 원격 공격자가 내부 함수에 접근해 VCO 호스트에 영향을 줄 수 있다. Edge 장치를 인증서로 인증하도록 설정된 오케스트레이터만 노출된다.
9월 22일 기준으로 5.2 및 6.4 릴리스 트레인에는 수정 버전이 출시됐으나, 6.1 및 7.0 트레인은 아직 준비 중이다. Arista는 이미 Hosted 및 Dedicated 버전의 VCO에는 패치를 적용했다. 영향을 받는 릴리스에는 Arista가 7월에 악용 사례를 보고한 별개의 VCO 취약점을 수정한 버전도 포함된다.
Arista는 이 취약점에 CVSS 3.1 점수 10.0을 부여했다. 공격이 성공하면 오케스트레이터와 해당 서버가 관리하는 데이터가 침해될 수 있다. VCO가 장악될 경우, 공격자는 VCO가 관리하는 Edge 장치에도 접근할 수 있다.
Arista는 이 취약점이 "외부에서 발견됐으며 실제 악용이 확인됐다"고 밝혔다. 공격이 언제 시작됐는지, 얼마나 광범위한지는 밝히지 않았다. The Hacker News는 Arista 측에 논평을 요청한 상태다.
노출되는 배포 환경
VeloCloud Edge는 오케스트레이터에 세 가지 모드 중 하나로 인증할 수 있다. Certificate Deactivated(인증서 비활성화) 모드에서는 Edge가 사전 공유 키(PSK)를 사용한다. Certificate Acquire(인증서 획득) 및 Certificate Required(인증서 필수) 모드에서는 오케스트레이터가 발급한 인증서를 사용한다.
Arista는 "VeloCloud Edge에서 VeloCloud Orchestrator(VCO)로의 인증서 기반 인증이 설정된 경우" 오케스트레이터가 취약하다고 밝혔다. 위 모드 중 어떤 것이 해당 조건을 충족하는지는 명시하지 않았다. 공격자는 추가로 VCO 웹 인터페이스에 대한 네트워크 접근과 Edge 인증 인증서의 공개 부분이 필요하다.
7월의 취약점은 설정과 무관했다. VCO는 기본값 상태에서도 해당 취약점에 노출됐으며, 어떤 설정으로도 이를 방지할 수 없었다.
수정된 릴리스
9월 22일 기준으로, 각 트레인별 영향받는 릴리스, 수정 버전, 7월 취약점(CVE-2026-16812) 수정 버전은 다음과 같다:
트레인 | CVE-2026-93952 영향 버전 | 수정 버전 | 7월 취약점(CVE-2026-16812) 수정 버전 5.2 | 5.2.3.15 이하 | 5.2.3.16 이상 | 5.2.3.14 6.1 | 6.1.3.7 이하 | 미출시 | 6.1.3.4 6.4 | 6.4.2.7 이하 | 6.4.2.8 이상 | 6.4.2.4 7.0 | 7.0.0.2 이하 | 미출시 | 미출시(7.0.0.1 이상은 영향받지 않음)
Arista는 아직 지원 중인 영향받는 트레인에 대한 수정 버전을 준비 중이며, 완료 시 보안 권고문에 추가할 예정이라고 밝혔다. 지원이 종료된 릴리스 트레인을 사용하는 고객은 Arista 기술 지원 센터(TAC)에 업그레이드 방안을 문의할 수 있다.
즉시 업그레이드가 불가능한 경우
수정 릴리스가 설치되기 전까지 Arista는 다음 조치를 권고한다:
- VCO 웹 인터페이스 접근을 신뢰할 수 있는 관리 네트워크로 제한한다. 이를 통해 노출 위험을 줄일 수 있다.
- 알려진 악성 IP 주소로부터의 VCO 접근을 모니터링한다.
- VCO 호스트로부터의 예상치 못한 아웃바운드 네트워크 트래픽을 모니터링한다.
- 정상 운영에 필요하지 않은 아웃바운드 포트 차단을 검토한다.
- 백도어 데몬 및 웹쉘을 모니터링한다.
- 최근 관리자 활동에서 예상치 못한 변경 사항이 있는지 검토한다.
침해 징후
Arista는 VCO가 이 취약점을 통해 침해됐음을 단정할 수 있는 단일 지표는 없다고 밝혔다. VCO 웹 접근 로그에서 비정상적인 URL 형태의 경로, 인코딩된 문자, 로컬 또는 내부 서비스에 대한 참조, 높은 요청 빈도가 있는 요청을 확인해야 한다.
구체적인 침해 지표는 다음과 같다:
- 파일:
/usr/local/sbin/.vcnode.js - 파일:
/usr/local/sbin/vc-sysmond - MD5 (
vc-sysmond):dc78e206eaeadec59fc5801fe4556bd0 - 파일:
/etc/systemd/system/vc-sysmon.service - nginx 로그의 HTTP 헤더:
x-vc-opt - IP:
142.93.149[.]77 - IP:
104.248.126[.]159
이 중 하나라도 발견되면 VCO의 현재 상태를 보존하고 TAC 또는 Arista 계정 담당자에게 연락한다. 침해가 의심되는 경우, 가능하다면 수정 조치 전에 VCO의 웹 접근 로그, 백엔드 애플리케이션 로그, 시스템 로그, 데이터베이스 로그, 파일시스템 타임스탬프를 저장한다.
Arista는 업그레이드 후에도 사고 대응을 권고한다. 여기에는 자격증명 교체, 관리자 활동 검토, 관리 중인 Edge 장치의 상태 점검, 신뢰할 수 있는 소스로부터 오케스트레이터 복원 또는 교체 등이 포함될 수 있다.
같은 소식, 다른 매체 보도1건
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
