Arista Networks — Parcheo de Vulnerabilidad Zero-Day en VeloCloud Orchestrator Explotada en Ataques (CVE-2026-114625)

Fecha de publicación: 22 de octubre de 2026
Categoría: Zero Days / Inteligencia de Amenazas

Introducción

Arista Networks ha publicado avisos y actualizaciones de seguridad urgentes para abordar una vulnerabilidad de tipo zero-day que afecta a las implementaciones locales (On-Prem) de VeloCloud Orchestrator (VCO). Esta nueva falla, rastreada como CVE-2026-114625, permite a atacantes con privilegios básicos y acceso a la interfaz web escalar privilegios y tomar control del sistema. La divulgación de este fallo se suma a una serie de incidentes críticos experimentados por la compañía durante el año 2026, los cuales han afectado tanto a sus plataformas de gestión SD-WAN como a su sistema operativo de red EOS.

¿Qué es VeloCloud Orchestrator y el Fallo de Seguridad? (Análisis General)

VeloCloud Orchestrator (VCO) es un portal de gestión centralizado basado en web que permite a los administradores configurar, supervisar y administrar redes de área amplia definidas por software (SD-WAN) de VeloCloud y sus dispositivos perimetrales (edge devices). Dada su posición central en la arquitectura de red corporativa, un compromiso de este componente representa un riesgo catastrófico para la confidencialidad, integridad y disponibilidad de toda la infraestructura gestionada.

Para la vulnerabilidad principal CVE-2026-114625, los datos de NVD no se encuentran en la cuota de consulta proporcionada, por lo que se realiza una estimación razonada basada en el comportamiento del vector descrito:

  • Vector CVSS estimado: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H — 9.9 (CRITICAL) (Estimación razonada).
  • CWE estimado: CWE-89 (Improper Neutralization of Special Elements used in an SQL Command / SQL Injection) o CWE-284 (Improper Access Control) (Estimación razonada).

Asimismo, en el transcurso del año 2026 se han documentado y parcheado otros vectores críticos en la infraestructura de Arista que cuentan con registros oficiales en el NVD:

CVE Categoría (CWE) Impacto CVSS Vector (resumido)
CVE-2026-7473 CWE-1023 Limitado (Confidencialidad/Integridad) 6.9 (MEDIUM) CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:N…
CVE-2026-16812 CWE-78 Crítico (Compromiso Total) 10.0 (CRITICAL) CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H…
CVE-2026-93952 CWE-20 Crítico (Compromiso Total) 9.5 (CRITICAL) CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H…

Nota: Los vectores CVSS, CWE y estados en CISA KEV para CVE-2026-7473, CVE-2026-16812 y CVE-2026-93952 son hechos confirmados según la base de datos oficial NVD.

¿Cómo funciona? (Análisis Técnico)

El mecanismo de explotación de CVE-2026-114625 se estructura de la siguiente manera:

  • Flujo inicial de entrada: Un atacante que posea credenciales de bajo nivel y acceso a la interfaz web de VeloCloud Orchestrator envía peticiones maliciosamente crafteadas. El fallo no requiere interacción por parte de la víctima (zero-interaction).
  • Escalada de privilegios y persistencia: Mediante ataques de inyección SQL de baja complejidad, el usuario autenticado logra manipular las consultas internas de la base de datos del orchestrator. Esto le permite evadir los controles de acceso y hacerse pasar por un usuario administrador local de nivel superior (superuser operator).
  • Impacto operativo interno: Una vez obtenido el rol de superusuario, el atacante accede a funcionalidades internas destinadas estrictamente al uso del sistema, las cuales no deberían ser accesibles de forma remota, comprometiendo por completo el host subyacente del VCO y todos los datos administrados.

“En un sistema afectado, cualquier usuario autenticado puede obtener privilegios de operador y hacerse pasar por un usuario local ‘superuser operator’, incluyendo el acceso a funcionalidades diseñadas exclusivamente para uso interno.”

Sistemas / Entornos Afectados

Los despliegues afectados de manera directa por las vulnerabilidades de VeloCloud Orchestrator incluyen:

  • VeloCloud Orchestrator (VCO) On-Prem: Versiones anteriores a los parches de seguridad publicados por Arista.
  • Despliegues Hosteados y Dedicados (Hosted / Dedicated): Versiones previamente vulnerables que ya han sido parcheadas por el proveedor (incluyendo ramas 5.2.x, 6.1.x y 6.4.x).
  • Infraestructura Arista EOS: Dispositivos afectados por fallos previos de decapsulación de túneles (CVE-2026-7473).

Mitigación y Detección

Remediación

  • Aplicar de inmediato los parches y actualizaciones de firmware proporcionados por Arista Networks para las versiones correspondientes de VCO y EOS.
  • Si la aplicación de parches no es inmediata, restringir drásticamente el acceso a la interfaz web del VCO exclusivamente a redes de gestión internas y de confianza.
  • Bloquear preventivamente las direcciones IP maliciosas observadas en campañas recientes, específicamente 74.82.197.86 y 38.54.50.151.
  • En caso de sospecha de compromiso, preservar los registros de acceso web, registros de aplicaciones de backend, logs del sistema y de bases de datos antes de realizar cualquier cambio correctivo.

Detección

  • Monitorear los registros de acceso web en busca de patrones anómalos, tales como peticiones con componentes de ruta URL inusuales, caracteres codificados, referencias a servicios locales/internos y tasas elevadas de peticiones (high request rates).
  • Auditar la actividad reciente de cuentas de administrador para detectar cambios inusuales en privilegios o creación de cuentas de operador.

Recapitulando

La explotación activa de vulnerabilidades en plataformas críticas de gestión de red como VeloCloud Orchestrator evidencia la necesidad urgente de mantener una postura rigurosa de gestión de parches y segmentación perimetral. La capacidad de los atacantes para escalar privilegios desde cuentas de bajo nivel subraya que la prevención perimetral tradicional no es suficiente si el control de acceso interno y la validación de entradas fallan.

Referencias