Arista 于 9 月 22 日披露本地部署版 VeloCloud Orchestrator（VCO）的输入校验缺陷 CVE-2026-93952，CVSS 3.1 评分 10.0、CVSS 4.0 评分 9.5，厂商确认该漏洞已被在野利用。CISA 同日将其纳入已知被利用漏洞（KEV）目录，要求联邦民事机构在 9 月 25 日前完成修复。VCO 是集中管理 VeloCloud SD-WAN 环境与边缘设备的编排平台，一旦失陷，攻击者可顺势触达其纳管的所有网络设备。
事件概述
漏洞编号 CVE-2026-93952，内部缺陷号 BUG1907167 与 BUG1937417，归类为 CWE-20 输入校验不当。Arista 安全通告 SA-0183 明确该问题为外部发现、已知被在野利用。受影响版本包括 5.2 分支 5.2.3.15 及更早、6.1 分支 6.1.3.7 及更早、6.4 分支 6.4.2.7 及更早、7.0 分支 7.0.0.2 及更早。修复版本为 5.2.3.16 与 6.4.2.8，Arista 称其他分支的修复将陆续发布。托管与专用 VCO 服务已由厂商完成修复。
该漏洞与 7 月已披露的 CVE-2026-16812 是两起独立事件，不能以”已修过同产品”为由跳过。
技术细节
暴露条件有三个，缺一不可：VeloCloud Edge 到 VCO 已配置基于证书的认证；攻击者能获取 VeloCloud Edge 认证证书的公开部分；攻击者能通过网络访问 VCO Web 界面。利用无需 VCO 租户或运维凭据，也无需用户交互。默认配置的 VCO 不受影响，但启用 Edge 证书认证是 SD-WAN 生产环境的常见实践。
利用成功后，攻击者可以访问 VCO 主机的特权内部功能，影响编排器及其管理数据的机密性、完整性与可用性。由于 VCO 集中管理边缘设备，失陷范围会从单台主机扩散到整个纳管网络。
影响评估
CVSS 10.0 叠加已确认的在野利用，加上对纳管网络的可达性，构成完整的高危组合。厂商通告给出了可用于应急判定的具体线索：主机上异常出现的 /usr/local/sbin/.vcnode.js、/usr/local/sbin/vc-sysmond 与 /etc/systemd/system/vc-sysmon.service；已知恶意 vc-sysmond 文件的 MD5 为 dc78e206eaeadec59fc5801fe4556bd0；nginx 日志中出现 x-vc-opt 请求头；来自 142.93.149.77 与 104.248.126.159 的连接。厂商同时提示应排查 VCO 主机上非预期的出站 HTTP/HTTPS 流量。
修复建议
# 检查可疑文件与通信连接
ls -la /usr/local/sbin/.vcnode.js /usr/local/sbin/vc-sysmond
systemctl status vc-sysmon.service
ss -tunp | grep -E "142.93.149.77|104.248.126.159"- 升级到 VCO 5.2.3.16 或 6.4.2.8；6.1 与 7.0 分支尚无修复版本，需联系 Arista TAC 确定升级路径。
- 无法立即升级时，将 VCO Web 界面限制在受信管理网段，并限制 VCO 主机不必要的出站连接。
- 补丁不能清除历史入侵。怀疑失陷时应在处置前保留 VCO Web 访问日志、后端应用日志、系统日志、数据库日志与文件系统时间戳；修复后轮换凭据，并校验纳管设备状态是否被篡改。