Arista VeloCloud Orchestrator: SQL injection crítica ya explotada (CVE-2026-114625)

Qué es y a quién afectaEl catálogo de vulnerabilidades del NIST recoge con el identificador CVE-2026-114625 un fallo de inyección SQL (CWE-89) en Aris...

Qué es y a quién afecta

El catálogo de vulnerabilidades del NIST recoge con el identificador CVE-2026-114625 un fallo de inyección SQL (CWE-89) en Arista VeloCloud Orchestrator, el orquestador on-premise que muchas organizaciones usan para gestionar sus redes SD-WAN. La descripción oficial habla de un problema que puede permitir a un atacante remoto acceder a funcionalidades internas privilegiadas e impactar en el propio host del VCO. Si la explotación tiene éxito, quedan comprometidas la confidencialidad, la integridad y la disponibilidad del orquestador y de los datos que gestiona.

El detalle técnico que más preocupa es el vector de entrada: según el NVD, cualquier usuario autenticado puede escalar a privilegios de operador y hacerse pasar por un usuario local de tipo «superuser operator», con acceso a funciones reservadas al uso interno que no deberían ser accesibles de forma remota. Es decir, no hace falta ser administrador: basta con disponer de una cuenta válida en el sistema.

Las versiones afectadas, tal como las publica el NVD, son las siguientes:

De la 5.2.0 (incluida) hasta la 5.2.3.18 (sin incluir).
De la 6.1.0 (incluida) hasta la 6.1.3.10 (sin incluir).
De la 6.4.0 (incluida) hasta la 6.4.2.12 (sin incluir).

Las versiones alojadas de VCO, incluidas las Dedicated, también se vieron afectadas, pero el fabricante ya las ha parcheado. La gravedad asignada es CVSS 4.0 de 9.4, crítica, y la vulnerabilidad se publicó en el NVD el 22 de octubre de 2026.

Por qué es urgente: ya se explota en ataques reales

No estamos ante un fallo teórico pendiente de confirmación. La CISA añadió CVE-2026-114625 a su catálogo KEV (Known Exploited Vulnerabilities) el 23 de octubre de 2026, lo que significa que hay constancia de explotación activa en ataques reales. Ese catálogo no incluye vulnerabilidades «por si acaso»: solo entran las que se han visto utilizar sobre el terreno.

Como consecuencia, CISA fijó a las agencias federales de EE. UU. un plazo de corrección que vencía el 26 de octubre de 2026, apenas tres días después de la inclusión. La acción exigida pasa por aplicar las mitigaciones siguiendo las instrucciones del fabricante, conforme a la directiva BOD 26-04 sobre priorización de actualizaciones según el riesgo, y valorar cada activo expuesto a internet. En el material consultado no consta uso en campañas de ransomware, pero eso no rebaja la urgencia: la escalada de privilegios dentro de un orquestador de red da a un atacante una posición inmejorable para moverse lateralmente.

Para una pyme, un comercio online o un equipo de IT pequeño en España, el riesgo es doble: la ventana de exposición es mínima y el activo comprometido es precisamente el que gobierna la red.

Qué hacer hoy

El primer paso es de inventario: comprobar si la organización utiliza Arista VeloCloud Orchestrator en modo on-premise y, en caso afirmativo, determinar la versión exacta. Si está dentro de los rangos indicados, hay que tratarlo como prioridad alta.

Aplicar la actualización o mitigación que indique el aviso de seguridad del fabricante (Security Advisory 0199 de Arista). Si el aviso no detalla una versión corregida concreta, no improvises: sigue literalmente lo que publique el fabricante y, si no hay mitigación disponible, valora suspender el uso del producto expuesto.
Revisar indicios de intrusión: accesos con privilegios de operador no esperados, cuentas que se comportan como «superuser operator» sin serlo, actividad hacia funcionalidades internas o conexiones anómalas desde el orquestador.
Reducir la superficie expuesta: el propio vector es remoto, así que limita el acceso al VCO a las redes estrictamente necesarias, revisa qué cuentas pueden autenticarse y aplica el principio de mínimo privilegio mientras llega la corrección.
Revisar credenciales: si sospechas que el sistema pudo estar comprometido, rota contraseñas y claves asociadas al orquestador y a los sistemas que gestiona.

Cómo puede ayudar un equipo de ciberseguridad como el de ALMC

Gestionar este tipo de avisos requiere tiempo y criterio, y es justo lo que suele faltar en una pyme con un equipo de IT reducido. Desde ALMC trabajamos en la línea de detectar y cerrar vulnerabilidades antes de que las exploten: auditorías de seguridad y pentesting para saber qué hay realmente expuesto, hardening de servidores para reducir la superficie de ataque, monitorización y respuesta a incidentes cuando aparecen señales sospechosas, y mantenimiento y actualización de plataformas como WordPress, PrestaShop y Joomla, además de la reparación de webs hackeadas. En un caso como el de VeloCloud Orchestrator, el trabajo empieza por confirmar versiones y exposición, continúa con la aplicación ordenada de parches de seguridad según el aviso del fabricante y termina con una revisión de indicios de compromiso en los sistemas conectados. Si tu empresa opera en Lleida, Barcelona, Tarragona, Girona o en cualquier punto de España y necesita poner orden en este frente, merece la pena revisarlo con calma antes de que el problema lo decida el atacante.

Relacionado

¿Está tu empresa expuesta a fallos como este?

En ALMC revisamos qué versiones tienes publicadas, aplicamos los parches y endurecemos tus servidores y tu web. Descubre nuestros servicios de ciberseguridad o contáctanos para una revisión.

Resultados sin salir de la página.