Arista VeloCloud Orchestrator: una inyección SQL explotada convierte una cuenta de solo lectura en operador

Arista ha corregido CVE-2026-114625, una inyección SQL en VeloCloud Orchestrator instalado localmente que permite a un usuario con el rol más bajo obtener privilegios de operador sobre la plataforma de gestión SD-WAN. El fabricante confirma su explotación activa y CISA dio a las agencias de EE. UU. hasta el 26 de octubre.

Qué ha pasado

El 22 de octubre de 2026, Arista publicó el aviso de seguridad 0199 sobre CVE-2026-114625, una inyección SQL en VeloCloud Orchestrator (VCO), la consola que gestiona los equipos SD-WAN de VeloCloud. El fabricante le asigna 9,9 en CVSS 3.1 (9,4 en CVSS 4.0), afirma haber detectado el problema por sí mismo y confirma que está siendo explotado activamente. CISA la incluyó el 23 de octubre en su catálogo de vulnerabilidades explotadas, con plazo hasta el 26 de octubre para las agencias federales y la obligación de un análisis forense.

A quién afecta y cómo entran los atacantes

Solo son vulnerables los orquestadores instalados localmente: VCO 5.2.x anterior a 5.2.3.18, 6.1.x anterior a 6.1.3.10 y 6.4.x anterior a 6.4.2.12. Arista ya ha corregido las instancias alojadas y dedicadas; los conmutadores EOS, CloudVision y los propios equipos de borde no están afectados. Cualquier usuario autenticado, incluso con el rol Enterprise Read Only, puede obtener derechos de operador, hacerse pasar por un superusuario interno y acceder a funciones que nunca debieron ser accesibles a distancia, con posibles consecuencias para el servidor VCO y los datos que gestiona. Como el orquestador distribuye la configuración a todas las sedes, su compromiso afecta a toda la red.

Qué hacer ahora

1. Compruebe la versión de cada orquestador local en su interfaz web y compárela con la lista anterior.
2. Actualice a 5.2.3.18, 6.1.3.10 o 6.4.2.12 o posterior, según su rama.
3. Restrinja el acceso a la interfaz web del VCO a redes de administración de confianza hasta instalar la actualización.
4. Revise los registros de acceso web en busca de las dos direcciones publicadas por Arista, 74.82.197[.]86 y 38.54.50[.]151, y de rutas inusuales, caracteres codificados, referencias a servicios locales o ráfagas de peticiones.
5. Busque persistencia: webshells, puertas traseras, conexiones salientes inesperadas desde el orquestador y acciones recientes de administradores; revise las cuentas y elimine los accesos de solo lectura que ya no se usan.

Nuestra opinión

Una cuenta de solo lectura suele entregarse con facilidad a un proveedor o a un auditor porque se considera inofensiva; esta falla demuestra que en una consola de gestión cualquier cuenta es una posible vía de entrada. Los orquestadores de red merecen el mismo trato que los cortafuegos: red de administración aislada, autenticación multifactor, revisión periódica de cuentas y parches rápidos.

Fuentes

• Arista — Security Advisory 0199: VeloCloud Orchestrator
• CISA — Known Exploited Vulnerabilities Catalog: CVE-2026-114625
• NIST NVD — CVE-2026-114625 Detail

Cómo elegimos, verificamos y redactamos nuestros análisis →