Atacantes ya están explotando una falla crítica en VeloCloud Orchestrator. El 22 de octubre de 2026, Arista publicó el aviso de seguridad 0199 sobre CVE-2026-114625, una inyección SQL con 9.9 en CVSS v3.1 en Arista VeloCloud Orchestrator (VCO), el sistema central de gestión de las redes SD-WAN de VeloCloud, antes conocido como VMware SD-WAN by VeloCloud. Arista confirma que la falla se explota en ataques reales. Las versiones corregidas para VCO on-prem son 5.2.3.18, 6.1.3.10 y 6.4.2.12.
Si eres proveedor de internet (ISP) u operador y ofreces SD-WAN gestionado a tus clientes, esta alerta es para ti: quien controla el orquestador controla la gestión de las redes de tus clientes.
Qué pasó
- Explotación activa confirmada: según Arista, la falla fue detectada por la propia compañía y se sabe que está siendo explotada activamente.
- Cualquier usuario con sesión puede escalar: en un sistema afectado, cualquier usuario autenticado puede obtener privilegios de operador y hacerse pasar por el usuario local “superuser operator”. El rol mínimo necesario es Enterprise Read Only, el rol integrado más bajo para usuarios de clientes.
- Impacto amplio: Arista advierte que la explotación puede afectar al propio host del VCO y comprometer la confidencialidad, integridad y disponibilidad del orquestador y de los datos que gestiona.
- Los parches anteriores no bastan: según The Hacker News, los orquestadores que ya tienen las versiones que corrigieron las fallas explotadas en julio (CVE-2026-16812) y septiembre (CVE-2026-93952) siguen siendo vulnerables, porque esas versiones son anteriores a las nuevas correcciones.
- Tercera falla explotada en VCO desde julio: es la primera de las tres que requiere inicio de sesión.
- Lo que no se sabe: el aviso no dice cuándo empezaron los ataques, qué orquestadores fueron atacados ni qué hicieron los atacantes después.
Quién está afectado
- VCO on-prem 5.2.x anteriores a 5.2.3.18.
- VCO on-prem 6.1.x anteriores a 6.1.3.10.
- VCO on-prem 6.4.x anteriores a 6.4.2.12.
- Orquestadores Hosted y Dedicated: también estaban afectados, pero Arista ya los parchó.
- No afectados: VeloCloud Gateway y VeloCloud Edge. La rama 7.0 no aparece en la lista, y Arista indica que cualquier versión que no esté en la lista no es vulnerable.
- Versiones sin soporte: Arista no las evaluó. Si usas una, contacta al TAC de Arista para ver opciones de actualización.
Un detalle importante: según Arista, el VCO queda expuesto por defecto y ninguna configuración del VCO evita esa exposición. El atacante necesita acceso de red a la interfaz web y una sesión válida.
Versiones corregidas
| Rama | Afectada por CVE-2026-114625 | Corregida en |
|---|---|---|
| 5.2 | Antes de 5.2.3.18 | 5.2.3.18 o posterior |
| 6.1 | Antes de 6.1.3.10 | 6.1.3.10 o posterior |
| 6.4 | Antes de 6.4.2.12 | 6.4.2.12 o posterior |
Ojo con la rama 6.1: según The Hacker News, al 22 de octubre la falla de septiembre (CVE-2026-93952) solo tiene corrección listada en las ramas 5.2 y 6.4, y ningún aviso aclara si 6.1.3.10 también la corrige.
Mitigación paso a paso
- Identifica tus orquestadores: haz inventario de cada VCO on-prem y anota su versión.
- Actualiza a 5.2.3.18, 6.1.3.10 o 6.4.2.12 (o posterior), según tu rama.
- Si sospechas compromiso, guarda evidencia antes de parchear, cuando sea operativamente posible: logs de acceso web del VCO, logs de la aplicación backend, logs del sistema, logs de la base de datos y las marcas de tiempo relevantes del sistema de archivos.
- Restringe la interfaz web del VCO a redes administrativas de confianza.
- Bloquea las IP observadas en los ataques: 74.82.197[.]86 y 38.54.50[.]151.
- Vigila el tráfico saliente inesperado desde el host del VCO y considera bloquear los puertos de salida que la operación normal no necesita.
- Busca webshells y daemons de puerta trasera en el host.
- Revisa la actividad reciente de administradores en busca de cambios inesperados, y revisa las cuentas de clientes y socios con acceso al portal.
Cómo revisar si ya te comprometieron
- Busca las IP del ataque (74.82.197[.]86 y 38.54.50[.]151) en tus logs de firewall, proxy y del VCO.
- Revisa los logs de acceso web del VCO: Arista recomienda buscar peticiones con componentes de ruta parecidos a URL, caracteres codificados, referencias a servicios locales o internos, o tasas de peticiones altas.
- Revisa conexiones salientes del host del VCO que no correspondan a su operación normal.
- Busca webshells, procesos o servicios desconocidos y cambios administrativos que nadie reconozca.
- Pide ayuda: si encuentras indicios, conserva la evidencia y contacta al TAC de Arista.
Para las fallas de julio y septiembre, Arista advirtió que un orquestador comprometido también podía dar acceso a los equipos VeloCloud Edge. Para esta falla, el aviso no dice si ese riesgo aplica ni si actualizar elimina un acceso que el atacante ya haya obtenido. Por eso la revisión de compromiso no es opcional.
Por qué importa para ISP y operadores de SD-WAN gestionado
En VCO, los operadores crean las cuentas de clientes y socios, y cada socio puede gestionar un grupo de clientes. Esta falla convierte cualquier cuenta de cliente, incluso una de solo lectura, en una vía hacia el control total del orquestador. Para un ISP que ofrece SD-WAN gestionado, eso significa:
- Una cuenta de cliente basta: no hace falta robar la cuenta de un administrador; cualquier credencial válida de un cliente sirve como punto de entrada.
- Un solo punto, muchas redes: el orquestador centraliza la configuración y el monitoreo de las redes SD-WAN que gestionas para tus clientes.
- Riesgo de negocio y de confianza: un compromiso puede exponer, modificar o interrumpir el orquestador y los datos que gestiona, es decir, la información de tus clientes.
Cómo te ayuda NESS
NESS Unified IT Defense reúne monitoreo de infraestructura, gestión de vulnerabilidades, parches y protección de endpoints en una sola consola. Así sabes qué servidores tienes, qué versiones corren y si un equipo empieza a comportarse de forma extraña. Los servidores y equipos administrativos del ISP pueden protegerse con NESS Endpoint Protection, el antivirus colombiano de NESS con motor antimalware propio y detección por comportamiento, en un solo agente.
Preguntas frecuentes
¿Qué es CVE-2026-114625?
Es una inyección SQL crítica (CVSS 9.9) en Arista VeloCloud Orchestrator on-prem que permite a cualquier usuario autenticado obtener privilegios de operador y actuar como “superuser operator”.
¿Se está explotando?
Sí. Arista dice que la falla se conoce como explotada activamente y publicó dos IP observadas en los ataques.
¿Qué versiones la corrigen?
VCO 5.2.3.18, 6.1.3.10 y 6.4.2.12, o posteriores.
¿Uso VCO hosted, tengo que hacer algo?
Arista indica que los orquestadores Hosted y Dedicated ya fueron parchados. Aun así, conviene revisar la actividad reciente de administradores.
Ya apliqué los parches de julio y septiembre, ¿estoy protegido?
No. Esas versiones son anteriores a las nuevas correcciones y siguen siendo vulnerables a CVE-2026-114625.
¿Están afectados VeloCloud Edge o Gateway?
No. Según Arista, VeloCloud Gateway y VeloCloud Edge no están afectados por esta falla.
¿Está en el catálogo KEV de CISA?
Al momento de escribir esta guía, CVE-2026-114625 no aparece en el catálogo KEV de CISA (versión del 21 de octubre de 2026). Las fallas de julio y septiembre en VCO sí están incluidas. La ausencia en KEV no reduce la urgencia: Arista ya confirmó la explotación.
Revisa tu orquestador hoy
Agenda una demo de NESS y mantén inventario, parcheo y monitoreo desde una sola consola.
Fuentes
- Arista, Security Advisory 0199 (22 oct 2026)
- CVE.org, CVE-2026-114625
- The Hacker News, Arista Warns of Critical VeloCloud SQL Injection Zero-Day Exploited in Attacks (22 oct 2026)
- BleepingComputer, Arista patches new VeloCloud Orchestrator zero-day exploited in attacks (22 oct 2026)
- CISA, Known Exploited Vulnerabilities Catalog
