Arista VeloCloud Orchestrator: inyección SQL explotada (CISA KEV)

El 23 de octubre de 2026 la CISA incluyó la CVE-2026-114625 en el catálogo Known Exploited Vulnerabilities (KEV): la vulnerabilidad de Arista VeloCloud Orchestrator (VCO) está por tanto ya explotada en ataques reales. El catálogo la denomina «Arista VeloCloud Orchestrator SQL Injection Vulnerability».

Para las agencias federales estadounidenses el plazo para actuar es el 26 de octubre de 2026, apenas tres días después de la inclusión. La ficha de la CVE en la base de datos NVD se publicó el 22 de octubre.

Este artículo se basa en una sola fuente, la ficha del catálogo KEV con la descripción publicada en la base de datos NVD: la información que sigue es la que se recoge allí.

Qué ha pasado

VeloCloud Orchestrator es la consola de gestión centralizada de la solución SD-WAN VeloCloud. Según la descripción publicada en la base de datos NVD, la vulnerabilidad afecta a las instalaciones on-prem del orquestador y puede permitir a un atacante remoto acceder a funciones internas privilegiadas y afectar al host en el que se ejecuta VCO.

En la práctica, en un sistema vulnerable cualquier usuario autenticado puede obtener privilegios de operador y hacerse pasar por el usuario local «superuser operator». Esto da acceso también a funciones pensadas solo para uso interno, que no deberían ser accesibles en remoto.

Según la misma descripción, una explotación con éxito puede comprometer la confidencialidad, la integridad y la disponibilidad del orquestador y de los datos que gestiona.

Las versiones alojadas, incluidas las Dedicated, también estaban afectadas y ya se han corregido.

Detalles técnicos

• CVE: CVE-2026-114625.
• Producto: Arista VeloCloud Orchestrator (VCO), instalaciones on-prem.
• Debilidad: CWE-89 (inyección SQL), como indica también el título del catálogo KEV. La descripción de NVD no explica en qué función se encuentra el fallo.
• Impacto: elevación de privilegios de usuario autenticado a «superuser operator», acceso a funciones internas no pensadas para uso remoto, impacto en el host de VCO.
• Puntuaciones CVSS, ambas calculadas por el PSIRT de Arista:
  • 9.9 (crítica) en CVSS 3.1: ataque desde la red, baja complejidad, privilegios bajos (cualquier cuenta), sin interacción del usuario, scope changed, impacto alto en confidencialidad, integridad y disponibilidad;
  • 9.4 (crítica) en CVSS 4.0: mismas condiciones, con impacto alto tanto en el sistema vulnerable como en los sistemas posteriores (SC, SI y SA altos).
• Versiones afectadas y corregidas: la fuente no las indica; están en el aviso de seguridad 0199 de Arista.
• Explotación: confirmada por la CISA con la inclusión en el catálogo KEV. Su uso en campañas de ransomware, según la CISA, no se conoce por ahora.
• MITRE ATT&CK: la explotación de una aplicación accesible desde la red corresponde a T1190 (Exploit Public-Facing Application) y el uso de una cuenta existente como punto de partida a T1078 (Valid Accounts). La fuente no describe la cadena de ataque ni indicadores de compromiso.

El scope changed de CVSS 3.1 y los valores altos en los sistemas posteriores de CVSS 4.0 indican que, según la valoración de Arista, las consecuencias no se quedan en el orquestador.

Impacto para las empresas europeas e italianas

El orquestador es el punto desde el que se gobierna la red SD-WAN: quien lo controla con privilegios de operador actúa sobre el componente que gestiona la red y sobre los datos que contiene. La necesidad de un usuario autenticado no es una gran barrera: según la descripción, basta una cuenta cualquiera, incluso con privilegios mínimos.

Para las entidades incluidas en NIS2, la gestión oportuna de las vulnerabilidades forma parte de las medidas exigidas, y un compromiso debe valorarse para su notificación al CSIRT nacional, que en Italia es el CSIRT Italia de la ACN. Lo mismo vale para las organizaciones sanitarias que conectan varias sedes con una red SD-WAN gestionada por un orquestador on-prem.

Qué hacer ya

1. Inventario: comprueba si en tu empresa, o en el proveedor que te gestiona la red, hay un VeloCloud Orchestrator on-prem. Las instancias alojadas, incluidas las Dedicated, ya las ha corregido Arista.
2. Actualiza: aplica las correcciones o mitigaciones indicadas en el aviso 0199 de Arista. La CISA pide aplicar las mitigaciones del fabricante o, si no están disponibles, dejar de usar el producto.
3. Reduce la exposición: la CISA pide valorar cuánto está expuesta cada instancia en Internet. Hasta aplicar la actualización, valora hacer que la interfaz del orquestador sea accesible solo desde la red de gestión o mediante VPN.
4. Revisa las cuentas: según la descripción, basta un usuario autenticado cualquiera. Elimina las cuentas que ya no se usan y controla quién tiene acceso al orquestador.
5. Busca señales de compromiso: para las agencias federales, la CISA remite a sus requisitos de triaje forense. En las instancias vulnerables, examina los registros del orquestador y del host, las actividades realizadas con privilegios de operador y los cambios de configuración.
6. Credenciales: si encuentras señales de compromiso, sustituye las credenciales de las cuentas del orquestador y las que usan sus integraciones.

Cómo ayuda ARXDOME

ARX Expose muestra qué servicios expone tu empresa en Internet, qué productos se reconocen en ellos y cuáles tienen vulnerabilidades conocidas: te ayuda a descubrir si una interfaz de gestión es accesible desde fuera. ARX Shield enumera las vulnerabilidades abiertas en las máquinas monitorizadas y destaca las que ya explotan los atacantes. ARX Sentry recoge registros y eventos de los servidores en los que está instalado el agente, incluidos los accesos privilegiados y los cambios en las cuentas. Con ARX Horizon puedes consultar desde el portal los detalles de las vulnerabilidades y buscar indicadores de compromiso.

Última actualización: 23 de octubre de 2026