Arista ha emitido una alerta crítica sobre una vulnerabilidad de día cero (zero-day) de inyección SQL que está siendo activamente explotada en su VeloCloud Orchestrator (VCO). Este sistema es el gestor central de las redes SD-WAN VeloCloud, afectando a las organizaciones que implementan VCO de forma local (on-premises). Las implementaciones en la nube, tanto hospedadas como dedicadas, ya han sido parcheadas por Arista.
La falla, identificada como CVE-2026-114625 y con una puntuación CVSS de 9.9 (crítica), permite a un atacante con acceso a la interfaz web del orquestador y credenciales de inicio de sesión válidas (incluso con el mínimo rol de ‘Enterprise Read Only’) escalar privilegios a nivel de operador o superusuario. Esto otorga control total sobre el VCO y, potencialmente, sobre la infraestructura SD-WAN gestionada. Esta es la tercera vulnerabilidad explotada en VCO desde julio de 2025, pero la primera que requiere autenticación.
La explotación puede permitir al atacante afectar el propio host del VCO, exponiendo, modificando o interrumpiendo el orquestador y los datos que gestiona. Arista adquirió la línea de productos VeloCloud SD-WAN de Broadcom en julio de 2025 (anteriormente VMware SD-WAN by VeloCloud). El VCO está expuesto por defecto, sin configuraciones que prevengan dicha exposición, lo que subraya la criticidad de la situación.
Para mitigar esta amenaza, Arista ha publicado parches en las versiones VCO 5.2.3.18, 6.1.3.10 y 6.4.2.12 para despliegues on-premises. Mientras se realiza la actualización, se recomienda limitar el acceso a la interfaz web del VCO solo a redes administrativas de confianza, monitorear el VCO en busca de conexiones desde direcciones IP maliciosas conocidas (74.82.197.86 y 38.54.50.151), y observar cualquier actividad de red saliente inusual. También se aconseja bloquear puertos de salida no necesarios, buscar daemons de puerta trasera o webshells, y revisar la actividad reciente de los administradores.
Qué significa para tu empresa: Una vulnerabilidad de esta magnitud en un sistema de gestión centralizado como el VCO resalta la importancia de una estrategia de seguridad proactiva y de una visibilidad constante sobre los activos críticos. La detección temprana de accesos no autorizados o actividades anómalas, como las IPs de ataque mencionadas, es crucial para contener un incidente. Nuestros servicios de SOC con monitoreo 24/7 están diseñados precisamente para detectar y responder rápidamente a este tipo de amenazas, asegurando la integridad y disponibilidad de su infraestructura de red.
Fuente original: The Hacker News — ver artículo →