¿Tecnología Geek te ahorra tiempo? Agréganos como tu fuente preferida en Google y ve más noticias nuestras en tus resultados. Fuente preferida en Google
La falla de VeloCloud registrada como CVE-2026-114625 ya se ataca en redes reales: una cuenta de solo lectura basta para tomar el panel que administra las conexiones de una empresa. Arista lo confirmó este 22 de octubre en su aviso de seguridad 0199, con una nota de 9,9 sobre 10 en la escala CVSS y un dato que ningún administrador quiere leer: la empresa detectó el fallo y ya se explota fuera.
VeloCloud Orchestrator, abreviado VCO, es la consola web desde donde se configuran y se vigilan las redes SD-WAN, la tecnología que une oficinas, sucursales y servicios en la nube en una sola red. Arista compró esa línea a Broadcom en un acuerdo anunciado en julio de 2025; antes era el VMware SD-WAN de la propia Broadcom. Quien controla el orquestador no toca una pantalla más: toca el mapa de la red corporativa, sus políticas y los datos de cada cliente y socio.
Una cuenta de solo lectura basta para quedarse con el panel
El error es una inyección SQL, catalogada como CWE-89: la aplicación no limpia bien los datos que terminan dentro de una consulta a su base de datos, y un atacante logra que esa consulta haga algo distinto a lo previsto. Arista explica que basta acceso de red a la interfaz web y una sesión válida. El rol mínimo es Enterprise Read Only, el nivel más bajo que VCO asigna a los usuarios de un cliente, pensado para mirar y no tocar.
Con ese punto de apoyo, el atacante gana privilegios de operador y se hace pasar por un superusuario local. Eso abre funciones internas que Arista reserva para su personal y que no deberían quedar expuestas a una conexión remota. La compañía advierte que un ataque exitoso puede comprometer la confidencialidad, la integridad y la disponibilidad del orquestador, de los datos que administra y hasta del equipo que lo aloja.
El detalle incómodo está en el uso diario. Las cuentas de lectura se reparten con una alegría que las cuentas de administrador jamás reciben: auditores, socios que supervisan un servicio, personal de apoyo, tableros de monitoreo. En VCO, los operadores crean las cuentas de clientes y socios, y cada socio puede administrar un grupo de clientes, así que una credencial menor robada o prestada abre una puerta mucho más grande que la oficina de su dueño.
Versiones afectadas y un parche que no admite espera
Quedan expuestas por CVE-2026-114625 las instalaciones locales de VCO anteriores a tres versiones: la rama 5.2 antes de 5.2.3.18, la rama 6.1 antes de 6.1.3.10 y la rama 6.4 antes de 6.4.2.12. Esas tres versiones, o cualquier posterior dentro de su rama, traen la corrección. Los orquestadores alojados por Arista ya recibieron el parche. VeloCloud Gateway y VeloCloud Edge no están afectados, la rama 7.0 no aparece en la lista y Arista aclara que una versión fuera de la lista no es vulnerable.
Las versiones sin soporte quedaron fuera de la evaluación. Para esos casos, la salida que ofrece la empresa es hablar con su centro de asistencia técnica y buscar una ruta de actualización. El aviso recuerda un dato que quita cualquier tentación de aplazar el trabajo: VCO queda expuesto por defecto y ninguna configuración evita esa exposición, así que cerrar el panel a redes de administración confiables es una medida previa al parche, no un sustituto.
La falla de VeloCloud CVE-2026-114625 es el tercer fallo de VCO explotado en ataques que Arista reporta desde finales de julio. El de julio, CVE-2026-16812, y el de septiembre, CVE-2026-93952, ni siquiera pedían iniciar sesión; este es el primero del trío que exige una cuenta. Quien actualizó en septiembre tampoco terminó: esas versiones corregidas quedan por debajo de las nuevas, y en la rama 6.1 el fallo de septiembre seguía sin una versión corregida en la lista, sin que ningún aviso aclare si 6.1.3.10 lo corrige.
Señales en los registros y medidas mientras llega el parche
Arista publicó dos direcciones IP vistas en los ataques, 74.82.197.86 y 38.54.50.151, y pide bloquearlas y buscarlas en los registros. Las pistas dentro del acceso web son peticiones con trozos de ruta extraños, caracteres codificados, referencias a servicios locales o internos y ritmos de peticiones muy altos. Si aparece una sospecha seria, la empresa pide guardar las bitácoras de acceso web, de la aplicación, del sistema y de la base de datos, junto a las fechas de los archivos tocados.
Mientras el parche entra, el aviso manda limitar la interfaz web a las redes administrativas de confianza, vigilar conexiones desde direcciones conocidas por su actividad maliciosa, mirar el tráfico saliente inesperado del anfitrión, valorar el cierre de puertos de salida que la operación no usa y revisar dos cosas concretas: procesos de puerta trasera y archivos web plantados, más la actividad reciente de los administradores en busca de cambios raros.
Queda por saber lo que el aviso no cuenta: cuándo empezaron los ataques, a qué orquestadores llegaron y qué hicieron los atacantes después de entrar con rango de superusuario. Arista atiende a más de 10.000 clientes, y cada consola VCO sin actualizar a esta hora sigue ofreciendo la misma oferta: una cuenta para mirar, convertida en la llave de toda la red.
Fuente: Arista
Foto: The Hacker News
La conversación sigue en el foro
Comenta esta noticia, pregunta lo que quieras y comparte tu experiencia con otros lectores en el foro de Tecnología Geek. Participar es gratis: solo necesitas tu cuenta del sitio.
Entrar al foro
