VeloCloud Orchestrator: versiones corregidas e IP de ataque

La CVE-2026-114625 de Arista VeloCloud Orchestrator (VCO) on-prem, una inyección SQL con CVSS 9.9 que permite a cualquier usuario autenticado hacerse pasar por el «superuser operator», se describió en el artículo del 23 de octubre, basado solo en el catálogo KEV de la CISA. Desde entonces, el aviso de seguridad 0199 de Arista, recogido por BleepingComputer, SecurityWeek y LeMagIT, y el aviso AV26-1080 del Canadian Centre for Cyber Security han añadido lo que necesitas si gestionas un orquestador: las versiones corregidas, las direcciones IP desde las que partieron los ataques, qué buscar en los logs y las mitigaciones mientras no actualices.

Versiones afectadas y corregidas

Según el aviso canadiense y SecurityWeek, están afectadas todas las versiones de VCO anteriores a:

• 5.2.3.18;
• 6.1.3.10;
• 6.4.2.12.

La corrección está incluida en estas versiones y en las posteriores. Arista ya ha actualizado las instancias alojadas; si tienes un orquestador on-prem, debes instalar la corrección tú mismo. Para SecurityWeek, actualizar a una versión corregida es la solución que recomienda Arista, y las demás medidas solo sirven mientras tanto.

Quién puede explotarla

Las fuentes coinciden en los requisitos: el atacante tiene que llegar a la interfaz web de VCO y tener una sesión autenticada válida. SecurityWeek precisa, citando a Arista, que basta con el rol de tenant integrado con los privilegios más bajos, que las instalaciones de VCO están expuestas de forma predeterminada y que «no existe ninguna configuración que pueda impedir la exposición». BleepingComputer y LeMagIT describen la inyección como poco compleja y sin necesidad de interacción del usuario.

La explotación la detectó la propia Arista (SecurityWeek). Ninguna fuente indica quién está detrás de los ataques, cuántas organizaciones se han visto afectadas ni qué hicieron los atacantes después del acceso.

Indicadores y qué buscar en los logs

Arista ha publicado dos direcciones IP observadas en los ataques, recogidas por BleepingComputer y SecurityWeek:

• 74.82.197.86
• 38.54.50.151

Bloquéalas y búscalas en los logs. En los logs de acceso web de VCO, Arista sugiere buscar también:

• peticiones con componentes de ruta parecidos a URL poco habituales;
• caracteres codificados;
• referencias a servicios locales o internos;
• frecuencias de petición elevadas.

Las fuentes no describen la cadena de ataque en detalle ni publican otros indicadores, como hashes de archivos o nombres de web shells.

Si sospechas un compromiso, Arista pide conservar las pruebas antes de intervenir, siempre que sea posible: logs de acceso web de VCO, logs de la aplicación backend, logs del sistema, logs de la base de datos y marcas de tiempo del sistema de archivos. Para recibir asistencia remite a su TAC.

Mitigaciones mientras no actualices

Hasta que instales la versión corregida, Arista recomienda (BleepingComputer y SecurityWeek):

• limitar el acceso a la interfaz web de VCO a las redes de administración;
• revisar la actividad reciente de los administradores en busca de cambios inusuales;
• vigilar las conexiones desde las IP conocidas y los accesos sospechosos.

Solo SecurityWeek recoge otras dos indicaciones: bloquear los puertos de salida innecesarios y comprobar si hay procesos backdoor y web shells en el host. En términos de MITRE ATT&CK, la explotación corresponde a T1190 (Exploit Public-Facing Application) con una cuenta válida (T1078); las web shells entrarían en T1505.003, pero las fuentes las citan como comprobación recomendada, no como un hecho observado.

El tercer zero-day de VCO en cuatro meses

Según SecurityWeek, la CVE-2026-114625 es la tercera vulnerabilidad de VCO explotada como zero-day en cuatro meses, después de la CVE-2026-16812 de julio y la CVE-2026-93952 de septiembre. BleepingComputer amplía la cuenta a todo 2026: además de esta, Arista ha corregido otros tres zero-days explotados entre EOS y VCO on-prem, la CVE-2026-7473 en mayo y los de julio y septiembre.

LeMagIT recuerda que Arista compró VeloCloud a Broadcom en julio de 2025; el producto formaba parte antes del catálogo de VMware, que lo había adquirido en 2017.

Impacto para las empresas europeas e italianas

El orquestador gobierna la red SD-WAN que conecta sedes y sucursales, también las de centros sanitarios repartidos por el territorio. Tres zero-days explotados en pocos meses indican que el producto es un objetivo recurrente: si tienes un VCO on-prem, o lo gestiona un proveedor por ti, trátalo como un sistema crítico, con actualizaciones rápidas y acceso a la gestión limitado. Para las entidades sujetas a NIS2, la gestión rápida de las vulnerabilidades forma parte de las medidas exigidas, y un compromiso debe evaluarse para su notificación al CSIRT nacional, que en Italia es el CSIRT Italia de la ACN.

Qué hacer ya

1. Inventario: comprueba si tú o tu proveedor usáis un VCO on-prem y con qué versión.
2. Actualiza a la 5.2.3.18, 6.1.3.10 o 6.4.2.12 (o posteriores), según la rama que uses.
3. Bloquea y busca 74.82.197.86 y 38.54.50.151 en los logs del firewall y de VCO.
4. Analiza los logs web de VCO: rutas inusuales parecidas a URL, caracteres codificados, referencias a servicios internos, ráfagas de peticiones.
5. Antes de cualquier restauración, si sospechas un compromiso, conserva los logs web, del backend, del sistema y de la base de datos y las marcas de tiempo del sistema de archivos.
6. Mientras tanto: interfaz accesible solo desde las redes de administración, revisión de la actividad de los administradores, bloqueo de los puertos de salida innecesarios, comprobación de web shells y procesos backdoor.
7. Cuentas: elimina las cuentas de tenant que no se usen, porque basta con el rol con menos privilegios.

Cómo ayuda ARXDOME

ARX Sentry recoge los logs de los firewalls en un colector central: las conexiones hacia el orquestador, incluidas las de las IP indicadas por Arista, siguen disponibles aunque el host se vea comprometido. ARX Radar muestra casi en tiempo real quién está atacando tus direcciones públicas, ARX Expose señala si una interfaz de gestión está expuesta en Internet y con qué vulnerabilidades conocidas, y con ARX Horizon puedes buscar los indicadores de compromiso desde el portal.

Última actualización: 23 de octubre de 2026