Arista parchea una vulnerabilidad de día cero en VeloCloud ya explotada mientras crecen los riesgos del SD-WAN
- Arista corrigió una vulnerabilidad de inyección SQL en VeloCloud Orchestrator con una puntuación de 9.9, ya explotada por atacantes.
- La vulnerabilidad permite que un usuario autenticado con permisos de solo lectura obtenga privilegios de operador y se haga pasar por un superusuario.
- Se trata de la tercera vulnerabilidad activamente explotada en VeloCloud Orchestrator revelada desde julio.
El 22 de octubre de 2026, Arista Networks corrigió una vulnerabilidad de día cero en VeloCloud Orchestrator que los atacantes ya habían explotado. Esta falla expone a las empresas a riesgos, ya que afecta al sistema utilizado para gestionar las conexiones de red entre múltiples sitios.
Cómo una cuenta de solo lectura puede convertirse en superusuario
El Advisory 0199 de Arista identifica la vulnerabilidad como CVE-2026-114625, una vulnerabilidad de inyección SQL clasificada con 9.9 según CVSS v3.1. El peligro radica en el grado de control que puede obtener un atacante, incluso con el nivel de acceso más bajo.
Para aprovechar la vulnerabilidad, un atacante necesita acceso a la interfaz web y credenciales de inicio de sesión válidas. Una vez conectado, el atacante puede utilizar la vulnerabilidad de inyección SQL para elevar una cuenta de Enterprise Read Only (solo lectura), que es el rol con los privilegios más bajos de la plataforma, a privilegios de operador e impersonar a un superusuario. Por lo tanto, la vulnerabilidad permite que alguien con acceso de solo lectura obtenga el control de la plataforma. Arista confirmó que los atacantes ya han explotado esta vulnerabilidad.
Los parches y la lista de verificación forense
Los operadores on-premises deben verificar sus versiones de software. Las versiones afectadas 5.2.x, 6.1.x y 6.4.x requieren las compilaciones corregidas 5.2.3.18, 6.1.3.10 y 6.4.2.12, respectivamente, o versiones posteriores dentro de esas series. Los despliegues alojados y dedicados ya están parcheados.
Según Arista, ambos ataques se originaron desde las siguientes direcciones IP de origen: 74.82.197.86 y 38.54.50.151. La empresa recomienda a los administradores de sistemas investigar solicitudes web sospechosas, conexiones salientes inesperadas y actividad administrativa inusual. También sugiere limitar el acceso a la gestión a redes confiables y conservar los registros pertinentes en caso de una brecha de seguridad sospechada.
La tercera falla de VeloCloud desde el verano
La vulnerabilidad de inyección SQL es la tercera falla activamente explotada reportada en VeloCloud Orchestrator en tres meses.
El advisory 0144 de Arista, emitido por primera vez el 27 de julio de 2026, cubría una vulnerabilidad de inyección de comandos del sistema operativo. Otra falla fue divulgada el 22 de septiembre a través del advisory 0183. Ambas involucraban métodos de ataque diferentes a los de la vulnerabilidad más reciente.
Aunque existen diferencias entre las tres vulnerabilidades, todas afectaron a la misma plataforma de gestión central. Dado que VeloCloud Orchestrator gestiona las conexiones entre múltiples sitios, una brecha en la plataforma podría comprometer varias redes.
Los parches llegan después de los exploits
El Informe de Investigaciones sobre Brechas de Datos 2026 de Verizon reveló que la explotación de vulnerabilidades representó el 31 % de las brechas de datos. Ha superado a las credenciales robadas como el método principal que utilizan los atacantes para acceder a las redes. Los resultados enfatizan la necesidad de que las empresas corrijan las vulnerabilidades antes de que los atacantes se aprovechen de ellas.
Sin embargo, las empresas suelen no poder corregir las vulnerabilidades antes de que los atacantes se aprovechen de ellas. Según el informe Google M-Trends 2026, los atacantes explotan las vulnerabilidades del sistema durante un promedio de siete días antes de que esté disponible una corrección. El informe también mencionó algunas amenazas contra dispositivos de red, como VPN y routers, que carecen de una supervisión estándar de puntos finales.
La IA podría hacer que la situación sea más peligrosa. En una investigación separada, investigadores de Google documentaron a atacantes utilizando IA para planificar y ejecutar una campaña de recolección masiva de credenciales en menos de seis horas. La operación comprometió miles de credenciales de terceros.
Aunque no hay pruebas confirmadas de que la IA haya tenido un papel en los ataques a VeloCloud, los hallazgos de Google muestran cómo las operaciones asistidas por IA pueden ayudar a los atacantes a actuar más rápido y causar mayores daños antes de que los equipos de seguridad puedan responder.
Por qué son importantes las correcciones sucesivas para un mercado en crecimiento
Los ciberataques pueden tener graves consecuencias financieras. El estudio de IBM de 2026 estimó el costo global promedio de una violación de datos en 4,99 millones de dólares. Las preocupaciones por las amenazas emergentes también están aumentando. El Foro Económico Mundial descubrió que el 87% de los encuestados consideró que las vulnerabilidades relacionadas con la IA son el riesgo cibernético de más rápido crecimiento durante 2025.
El impacto potencial podría aumentar a medida que más empresas adopten SD-WAN (redes de área amplia definidas por software), que conectan múltiples oficinas y permiten a las empresas gestionar el tráfico de red de forma centralizada. Dell’Oro Group pronostica un crecimiento anual del 14% en los ingresos de SD-WAN hasta 2030. A medida que estas redes se expandan, un controlador central comprometido podría interrumpir las operaciones comerciales en varias ubicaciones, afectando potencialmente a empresas en diferentes países.
Los mercados financieros enfrentan preocupaciones similares ante posibles interrupciones operativas. Cryptopolitan informó previamente sobre intentos de ciberataques contra importantes fondos de cobertura, lo que suscita interrogantes sobre un posible efecto derrame en los mercados de criptomonedas. Aunque estos incidentes fueron independientes de los ataques a VeloCloud, destacan la importancia de proteger los sistemas críticos. Para las empresas que utilizan VeloCloud, esto implica aplicar parches, buscar indicios tempranos de compromiso y asegurar los sistemas que conectan sus sucursales.
No te limites a leer noticias sobre criptomonedas. Entiéndelas. Suscríbete a nuestro boletín. Es gratis.
Preguntas frecuentes
¿Qué es CVE-2026-114625 y qué gravedad tiene?
Se trata de una vulnerabilidad de inyección SQL en VeloCloud Orchestrator de Arista, clasificada con 9.9 sobre 10 en la escala CVSS, que Arista indica que ha sido explotada en entornos reales y que permite a una cuenta de Enterprise Read Only escalar privilegios hasta convertirse en operador o superusuario.
¿Qué versiones de VeloCloud corrigen la vulnerabilidad?
El aviso de Arista enumera las versiones corregidas para instalaciones on-premises: 5.2.3.18, 6.1.3.10 y 6.4.2.12, y señala que las implementaciones Hosted y Dedicated ya han sido parcheadas.
¿Con qué rapidez explotan los atacantes vulnerabilidades como esta?
El informe M-Trends 2026 de Google estima que el tiempo medio para explotar vulnerabilidades es de menos de siete días, lo que significa que la explotación ocurre habitualmente antes de que se libere un parche. Además, el DBIR 2026 de Verizon reveló que la explotación de vulnerabilidades es ahora la forma más común en que los atacantes obtienen acceso inicial.
¿Qué deben hacer los administradores de VeloCloud ahora mismo?
Los administradores que ejecuten VeloCloud Orchestrator (VCO) on-premises deben actualizar inmediatamente a una versión corregida: 5.2.3.18 o posterior en la serie 5.2, 6.1.3.10 o posterior en la serie 6.1, o 6.4.2.12 o posterior en la serie 6.4. Arista indica que los entornos VCO Hosted y Dedicated ya han sido parcheados. Hasta que sea posible realizar una actualización, restrinja el acceso a la interfaz web de VCO a redes administrativas de confianza, supervise las conexiones procedentes de direcciones IP maliciosas conocidas, investigue el tráfico saliente inesperado, compruebe la presencia de demonios backdoor y webshells, y revise la actividad de los administradores en busca de cambios no autorizados. Si se sospecha una violación, conserve los registros de acceso web, de la aplicación backend, del sistema y de la base de datos, junto con las marcas de tiempo relevantes del sistema de archivos, antes de aplicar medidas correctivas donde sea operativamente viable.
¿Cuáles son los indicadores de compromiso para CVE-2026-114625?
Arista ha identificado dos direcciones IP asociadas a ataques que explotan CVE-2026-114625: 74.82.197.86 y 38.54.50.151. Los administradores deben revisar los registros de acceso web VCO en busca de conexiones desde estas direcciones e investigar componentes de ruta similares a URL, caracteres codificados, referencias a servicios locales o internos y tasas de solicitud anormalmente altas. Correlacione las solicitudes web sospechosas con los registros de aplicaciones backend, del sistema y de la base de datos para identificar tráfico HTTP o HTTPS saliente inesperado, cambios de configuración no autorizados, acciones de mantenimiento privilegiadas inusuales, ejecución de comandos o creación de archivos inesperados, exportaciones de bases de datos o archivos de archivo, y acceso sospechoso a inventarios de dispositivos, credenciales, certificados o material clave. Estos indicadores no son exhaustivos; la ausencia de coincidencia no descarta una vulneración. Conserve los registros relevantes y las marcas de tiempo del sistema de archivos si se sospecha una intrusión.
¿Los clientes VeloCloud alojados o dedicados se ven afectados por CVE-2026-114625?
Arista indica que los entornos de VeloCloud Orchestrator alojados y dedicados se vieron afectados, pero ya han sido parcheados. Los clientes que utilizan estos servicios deben confirmar el estado del parche de su entorno con Arista o su proveedor de servicios y revisar los registros de seguridad disponibles si sospechan actividad sospechosa. La corrección para los entornos alojados no garantiza que no haya ocurrido ningún ataque antes del parcheo. Para las implementaciones locales, los administradores deben verificar la versión de su software frente a la lista de versiones afectadas de Arista e instalar la versión corregida correspondiente. Los productos VeloCloud Gateway y VeloCloud Edge no figuran como directamente afectados por esta vulnerabilidad.
Descargo de responsabilidad. La información proporcionada no constituye asesoramiento financiero. Cryptopolitan.com no asume ninguna responsabilidad por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente realizar una investigación independiente y/o consultar con un profesional calificado antes de tomar cualquier decisión de inversión.
Micah Abiodun
Micah Abiodun aprovecha su Maestría en Ingeniería y Gestión Ambiental (MSc) de la Universidad Tecnológica de Tallinn (TalTech) para perfeccionar noticias sobre contenido y predicciones de precios en Cryptopolitan. Ahora en su séptimo año en el espacio de medios cripto, cubre las principales criptomonedas, altcoins, DeFi, stablecoins, tendencias macroeconómicas y tecnologías emergentes.
