Arista — Alerta sobre inyección SQL crítica zero-day en VeloCloud Orchestrator explotada activamente (CVE-2026-114625)

Fecha de publicación: 22 de octubre de 2026
Categoría: Vulnerabilidad / Seguridad Empresarial

Introducción

Arista Networks ha emitido advertencias de seguridad tras detectar la explotación activa en la naturaleza de una vulnerabilidad crítica de inyección SQL catalogada como zero-day en VeloCloud Orchestrator (VCO), el sistema central de gestión para redes SD-WAN. El fallo de seguridad, rastreado como CVE-2026-114625, permite a cualquier usuario autenticado —incluyendo aquellos con el rol de lectura para clientes empresariales— escalar sus privilegios y operar como un “superusuario operador” local con control total sobre el orquestador on-premises y los dispositivos gestionados. Este incidente se suma a una serie de brechas críticas reportadas en el componente durante los últimos meses, evidenciando una campaña persistente contra la infraestructura de redes empresariales.

¿Qué es VeloCloud Orchestrator? (Análisis General)

VeloCloud Orchestrator (VCO) actúa como el plano de control centralizado y la consola de administración para arquitecturas SD-WAN empresariales, permitiendo aprovisionar, configurar y monitorear masivamente dispositivos VeloCloud Edge y pasarelas (Gateways). La criticidad de este componente radica en que concentra el gobierno absoluto de la conectividad de sucursales y la seguridad perimetral de múltiples organizaciones.

En el caso de la vulnerabilidad CVE-2026-114625, el análisis oficial de la Base Nacional de Vulnerabilidades (NVD) confirma un fallo de inyección SQL catalogado bajo el identificador CWE-89. El vector CVSS v4.0 oficial ha sido determinado con una puntuación de 9.4 (CRITICAL) (CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H), lo que denota que un atacante con acceso remoto por red y privilegios mínimos de autenticación puede comprometer por completo la confidencialidad, integridad y disponibilidad tanto del host del orquestador como de los datos gestionados.

¿Cómo funciona? (Análisis Técnico)

El mecanismo de explotación de esta vulnerabilidad se fundamenta en deficiencias en la validación y sanitización de entradas dentro de las consultas a la base de datos subyacente del orquestador.

  • Flujo inicial de entrada: El atacante requiere acceso de red a la interfaz web del orquestador y una cuenta de usuario válida. La barrera de entrada es baja, ya que el rol mínimo requerido es Enterprise Read Only (el nivel predeterminado de menor privilegio para usuarios corporativos), y VCO se encuentra expuesto por defecto en la red sin mecanismos de mitigación nativos previos.
  • Escalada de privilegios y ejecución: Mediante la inyección SQL, el atacante manipula las consultas ejecutadas por el backend de la aplicación, omitiendo las restricciones de control de acceso basadas en roles. Esto le permite obtener privilegios de operador y suplantar a un superusuario local, accediendo a funciones de gestión internas destinadas exclusivamente al uso administrativo aislado.
  • Impacto sobre el host y ecosistema: Una vez que el actor de amenaza asume el control administrativo total del orquestador, puede alterar configuraciones de la red SD-WAN, interceptar flujos de datos corporativos, desplegar persistencia y potencialmente pivotar hacia dispositivos VeloCloud Edge conectados a la infraestructura administrada.

Sistemas / Entornos Afectados

Las versiones afectadas de VeloCloud Orchestrator (on-premises) comprenden las líneas de desarrollo anteriores a los parches oficiales. Las ediciones alojadas (Hosted) y dedicadas (Dedicated) ya han sido actualizadas de manera centralizada.

CVE Categoría (CWE) Impacto CVSS Vector (resumido)
CVE-2026-114625 CWE-89 (Inyección SQL) Crítico (Escalada a operador) 9.4 (CRITICAL) AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/...
CVE-2026-16812 CWE-78 (Inyección de Comandos) Crítico (Ejecución remota, CISA KEV) 10.0 (CRITICAL) AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/...
CVE-2026-93952 CWE-20 (Validación inadecuada) Crítico (Compromiso de host, CISA KEV) 9.5 (CRITICAL) AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/...

Las versiones específicas de remediación para las líneas de VeloCloud Orchestrator on-premises son:

  • Tren 5.2: Solucionado en la versión 5.2.3.18 y posteriores.
  • Tren 6.1: Solucionado en la versión 6.1.3.10 y posteriores.
  • Tren 6.4: Solucionado en la versión 6.4.2.12 y posteriores.

Mitigación y Detección

Remediación

  • Actualizar de inmediato los despliegues on-premises de VeloCloud Orchestrator a los trenes de versiones corregidos (5.2.3.18, 6.1.3.10, 6.4.2.12 o superiores).
  • Restringir estrictamente el acceso a la interfaz web de administración del VCO exclusivamente a redes corporativas de confianza mediante reglas de firewall o túneles VPN.
  • Revisar y revocar cuentas de usuario inusuales o con privilegios excesivos creadas recientemente en la plataforma.

Detección

Los equipos defensivos deben monitorear activamente los registros de acceso e infraestructura en búsqueda de anomalías operativas:

Nota de Inteligencia Defensiva: La explotación de esta vulnerabilidad se canaliza a través de peticiones HTTP que interactúan con las rutas internas del backend. Se deben auditar los logs en búsqueda de caracteres codificados inusuales, patrones sintácticos de inyección SQL (como sentencias UNION o manipulación de parámetros), y tasas de peticiones anómalas originadas por cuentas de lectura estándar.

  • Indicadores de Compromiso (IoCs): Se han identificado direcciones IP asociadas con actividad maliciosa en campañas previas y recientes contra la infraestructura de VCO:
    • 74.82.197[.]86
    • 38.54.50[.]151
  • Auditoría forense: Preservar los registros de acceso web del VCO, logs de bases de datos, eventos del sistema operativo base y marcas de tiempo del sistema de archivos antes de aplicar cualquier parche o mitigación correctiva.

Recapitulando

La irrupción de vulnerabilidades críticas zero-day en plataformas de gestión centralizada como Arista VeloCloud Orchestrator subraya el riesgo sistémico que representan los componentes perimetrales y de control SDN. La explotación combinada de fallos de inyección SQL y ejecución de comandos exige a las organizaciones una rápida adopción de parches y una rigurosa segmentación de redes para blindar la infraestructura crítica frente a amenazas persistentes avanzadas.

Referencias