Arista confirma ataques a vulnerabilidad 9.9 de VeloCloud

Arista Networks publicó el 22 de octubre un aviso de seguridad informando que la CVE-2026-114625, una vulnerabilidad de inyección de SQL en el portal web del VeloCloud Orchestrator, ya está siendo explotada por atacantes. La vulnerabilidad recibió una calificación de 9.9 de 10 en CVSS 3.1, según el aviso de la empresa reproducido por The Hacker News y BleepingComputer. Es la tercera vulnerabilidad explotada en el orquestador de SD-WAN de Arista en aproximadamente tres meses.

El vector requiere inicio de sesión, y ahí radica el problema. Basta con una cuenta con el perfil más bajo del producto, Enterprise Read Only, para que el atacante eleve sus privilegios al nivel de operador y acceda a funciones que deberían ser solo internas. En otras palabras, una credencial de consulta, del tipo que se distribuye a auditores, analistas de NOC y clientes de proveedores gestionados, se convierte en acceso administrativo.

Qué necesita ser actualizado

Arista informa que las instancias Hosted y Dedicated, operadas por ella, ya han sido corregidas. Los clientes con orquestador on-premises necesitan instalar las versiones 5.2.3.18, 6.1.3.10 o 6.4.2.12. Un punto poco obvio: los entornos que aplicaron las correcciones de julio y septiembre siguen siendo vulnerables, ya que estas compilaciones están por debajo de las nuevas versiones, según análisis publicados tras el aviso.

La empresa no divulgó cuántos clientes fueron afectados ni quién está detrás de la explotación. Hasta la publicación del aviso, la vulnerabilidad no figuraba en el catálogo de vulnerabilidades explotadas (KEV) de la CISA, la agencia estadounidense de ciberseguridad.

Un patrón, no un accidente

En julio, la CVE-2026-16812, inyección de comandos sin autenticación con calificación de 10.0, fue incluida en el catálogo KEV de la CISA el 27 de julio, después de evidencias de explotación activa. En septiembre apareció la CVE-2026-93952, también con calificación de 10.0, que afecta orquestadores configurados con autenticación por certificado entre los dispositivos de borde y el VCO. Tres vulnerabilidades explotadas en secuencia en el mismo componente sugieren que algún grupo está estudiando el producto de manera sistemática, aunque ni Arista ni la CISA han atribuido los ataques a un actor específico o han indicado si las tres campañas tienen el mismo origen.

El VeloCloud es la línea de SD-WAN que Arista adquirió de Broadcom en 2025, heredada del portafolio de VMware. Para Arista, cuyo negocio central son switches de centro de datos, el historial reciente impacta la conversación con clientes corporativos que evalúan consolidar la red de campus y WAN en un mismo proveedor.

Quién está más expuesto

El orquestador es el punto que configura y monitorea todos los dispositivos de borde de una red SD-WAN. Comprometer el VCO significa, potencialmente, tener acceso a la política de enrutamiento de cientos de sucursales a la vez. En operadores y proveedores de servicios gestionados que operan un único orquestador on-premises para varios clientes, el riesgo se multiplica: la cuenta de solo lectura que el proveedor entrega a cada cliente para seguir su propio contrato es exactamente el perfil que la vulnerabilidad requiere.

En los Estados Unidos, si la CISA incluye la CVE-2026-114625 en el catálogo KEV, al igual que hizo con las dos anteriores, las agencias federales civiles quedan obligadas a corregir dentro del plazo fijado por la directiva BOD 22-01, y el mercado privado suele usar la lista como estándar de prioridad.

En la Unión Europea, entidades cubiertas por la directiva NIS2, que incluye proveedores de servicios gestionados y operadores, tienen 24 horas para enviar un alerta inicial a la autoridad nacional después de tomar conocimiento de un incidente significativo. Un orquestador comprometido que atiende a varios clientes difícilmente se queda por debajo de este umbral.

En Brasil, la Resolución CD/ANPD nº 15, de 2024, otorga al controlador tres días hábiles para comunicar a la autoridad y a los titulares un incidente con riesgo o daño relevante. En redes de retail y bancos con cientos de agencias conectadas a través de SD-WAN, un acceso al orquestador tiende a involucrar datos de tráfico y de configuración antes de involucrar datos personales, lo que dificulta la evaluación de "riesgo relevante" y no menos urgente.

Para el CISO, la cuestión práctica va más allá del parche. Tres vulnerabilidades explotadas en un trimestre en un plan de gestión expuesto a internet requieren que la interfaz del orquestador salga de la red pública y se ubique detrás de una VPN o de una lista restringida de direcciones, y que las cuentas de solo lectura sean tratadas de nuevo como credenciales sensibles. La corrección cierra la CVE-2026-114625. La arquitectura decide si habrá una cuarta.