Fallo CVSS 10 en VeloCloud de Arista se convierte en plazo federal este jueves y ya se explota en ataques
CVE-2026-16812 permite comando remoto sin autenticación en el orquestador on-premises del SD-WAN. CISA obligó a las agencias federales a mitigar hasta el 30 de julio y hay evidencia de explotación activa.
Arista publicó el lunes (27) el Security Advisory 0144, corrigiendo una falla de inyección de comandos en el VeloCloud Orchestrator on-premises que recibió la calificación máxima del CVSS: 10.0. El CVE-2026-16812 permite que un atacante sin credenciales, con solo acceso de red a la interfaz web del orquestador, ejecute comandos arbitrarios en el sistema operativo del host y, por extensión, reconfigure o derribe cualquier conexión de sucursal o centro de datos gestionada por él.
La CISA agregó la falla a su catálogo Known Exploited Vulnerabilities el mismo día de la publicación de Arista, señalando que la explotación activa es anterior al parche. Según la Binding Operational Directive 26-04, las agencias federales civiles de los Estados Unidos tienen hasta este jueves, 30 de julio, para aplicar las versiones corregidas: 5.2.3.14, 6.1.3.4, 6.4.2.4 y 7.0.0.1.
Lo que la falla permite
El VeloCloud Orchestrator es el panel central de cualquier implementación SD-WAN de la tecnología adquirida por Arista a Broadcom en 2024, cuando el fabricante de chips vendió el activo heredado de la compra de VMware. Una organización típica utiliza el orquestador para aprovisionar CPEs en cientos o miles de sucursales, distribuir políticas de enrutamiento y recopilar telemetría de todo el backbone. Quien controla el orquestador, controla, en la práctica, toda la red WAN de la empresa.
La descripción técnica del error es la que aparece en una auditoría de seguridad básica: una funcionalidad privilegiada de uso interno fue expuesta en la interfaz web sin verificación de autenticación, y uno de los parámetros aceptados por esta función se pasa directamente al shell del sistema. Un atacante que descubre la URL ejecuta comandos como root. Arista atribuye el descubrimiento a una fuente externa, lo que en el lenguaje del sector suele indicar investigadores independientes o un equipo de respuesta a incidentes que ya ha observado el abuso en el campo.
Arista no había divulgado públicamente el número de instancias vulnerables identificadas hasta el cierre de este artículo, ni detalló el origen de los ataques.
Por qué la ventana de parcheo es imposible
La ventana oficial ofrece tres días al sector público estadounidense para corregir. Para el sector privado, el cronograma es más flexible en teoría, pero no en la práctica. Un orquestador VeloCloud detenido significa perder visibilidad y control sobre toda la WAN, y ningún operador acepta una ventana de mantenimiento sin homologación. Bancos y operadores que dependen de cambios CAB suelen tardar de 15 a 45 días en programar una actualización en producción.
Es en ese intervalo donde la exposición se vuelve crítica. Un escaneo Shodan por las firmas HTTP típicas del VCO encuentra miles de instancias expuestas globalmente, muchas de ellas por error administrativo, dado que el orquestador fue diseñado para permanecer en una red privada con acceso VPN.
Dónde se materializa el impacto
En Estados Unidos, el VeloCloud tiene una presencia fuerte en las redes de minoristas de mediano tamaño y en franquicias que estandarizan la conectividad entre tiendas a través de SD-WAN. La presión de la CISA impone un riesgo reputacional inmediato: una instancia vulnerable identificada en un escaneo federal puede convertirse en una acción de cumplimiento de proveedor en contratos con GSA.
En el Reino Unido y Alemania, el VeloCloud tiene una base instalada relevante en operadores que ofrecen SD-WAN gestionado como servicio. BT, Vodafone Business y Deutsche Telekom mantienen ofertas gestionadas sobre la plataforma. Una falla en el orquestador central del proveedor crea un riesgo de compromiso en cadena para todos los clientes multi-tenant alojados en ese controlador, una superficie de ataque que difícilmente se limita a un único cliente final.
Qué hacer en las próximas 48 horas
El paso mínimo del CISO este jueves es confirmar si alguna instancia de VCO on-prem de la organización, propia o operada por MSP, ha sido migrada a las versiones corregidas. Si la respuesta es negativa, el bloqueo de acceso externo al panel web a través de WAF o lista de permisos de IPs es la mitigación temporal que Arista sugiere como paliativo hasta la actualización. Los registros de acceso a los endpoints privilegiados deben ser retenidos durante los próximos 60 días.
La lección estructural es la misma que apareció en la explotación de las fallas de Ivanti Connect Secure en 2024 y en las fallas de Fortinet FortiOS que la CISA también catalogó el lunes: la superficie de gestión de dispositivos de red empresarial es la primera línea de la próxima ola de compromisos, y el patrón de exponer la consola de gestión a Internet sigue vivo, incluso cuando el proveedor recomienda lo contrario desde hace años.