Arista advierte sobre una vulnerabilidad crítica de inyección SQL en VeloCloud, explotada en ataques.

⟫ 22/10/2026 ⟫ info@thehackernews.com (The Hacker News)

Fuente: The Hacker News

**Vulnerabilidad Crítica en Arista VeloCloud Orchestrator: Un Llamado a la Acción ante el Último Ataque Explotado**

El 22 de octubre, Arista Networks emitió una advertencia sobre la explotación activa de una vulnerabilidad de inyección SQL de día cero en su sistema VeloCloud Orchestrator (VCO), el cual actúa como el núcleo de gestión para las redes SD-WAN de VeloCloud. Este tipo de vulnerabilidad es especialmente preocupante, ya que permite a los atacantes escalar privilegios incluso desde cuentas de cliente de solo lectura, otorgándoles acceso completo y control sobre el sistema. En un contexto donde la seguridad de la red es crucial para la infraestructura empresarial, la detección y mitigación de este tipo de fallas se vuelve imperativa.

La vulnerabilidad, catalogada como CVE-2026-114625, presenta una puntuación de severidad de 9.9 en la escala CVSS, lo que la convierte en una de las amenazas más críticas en el ecosistema de software actual. Aunque Arista ha lanzado parches para las versiones afectadas —específicamente VCO 5.2.3.18, 6.1.3.10 y 6.4.2.12 para los orquestadores locales— la advertencia indica que los orquestadores que ya habían sido actualizados para solucionar vulnerabilidades anteriores, descubiertas en julio y septiembre, siguen siendo vulnerables. Esto se debe a que estas versiones son más antiguas que las de los nuevos parches.

Para que un atacante pueda explotar esta vulnerabilidad, necesita tener acceso a la interfaz web del orquestador y contar con un inicio de sesión válido. El rol mínimo requerido es el de "Enterprise Read Only", que es el nivel más bajo de privilegios para los usuarios. Por defecto, el VCO está expuesto y no existe configuración que impida esta exposición. Una vez que el atacante obtiene acceso, puede actuar como un superusuario local, lo que significa que tendría control total sobre el sistema, pudiendo afectar no solo al VCO en sí, sino también los datos que gestiona y, potencialmente, el host del VCO.

Aunque Arista no ha especificado cuándo comenzaron los ataques ni qué orquestadores fueron comprometidos, el hecho de que esta sea la tercera vulnerabilidad explotada en el VCO desde finales de julio subraya una tendencia preocupante. Las vulnerabilidades anteriores, CVE-2026-16812 y CVE-2026-93952, no requerían inicio de sesión, lo que sugiere que los atacantes están evolucionando en sus métodos para acceder a sistemas críticos.

Es importante destacar que los productos VeloCloud Gateway y VeloCloud Edge no se encuentran afectados por esta vulnerabilidad, y las versiones de la serie 7.0 tampoco están en la lista de vulnerabilidades. Arista también ha indicado que no se han evaluado las versiones que han alcanzado el fin de su soporte, lo que implica que las empresas que aún utilizan estas versiones deben contactar al Centro de Asistencia Técnica de Arista para discutir opciones de actualización.

A medida que las organizaciones buscan proteger sus infraestructuras, Arista ha recomendado varias medidas preventivas hasta que se instalen los parches necesarios. Estas incluyen limitar el acceso a la interfaz web del VCO a redes administrativas de confianza, monitorear el VCO en busca de conexiones provenientes de direcciones IP maliciosas conocidas, y estar atentos a actividades inesperadas en la red que puedan indicar un compromiso del sistema. Los administradores deben realizar revisiones de la actividad reciente para detectar cambios inusuales y estar alerta ante posibles puertas traseras o shells web que puedan haber sido instalados por atacantes.

Arista ha identificado al menos dos direcciones IP que han llevado a cabo ataques relacionados con esta vulnerabilidad. Se recomienda bloquear estas direcciones y revisar los registros de acceso web del VCO en busca de solicitudes con componentes de URL inusuales o tasas de solicitud anómalas. En caso de sospecha de un compromiso, es fundamental preservar toda evidencia, incluidos los registros de acceso, aplicaciones de backend y logs del sistema, antes de llevar a cabo cualquier acción correctiva.

En conclusión, la explotación de la vulnerabilidad CVE-2026-114625 en el VeloCloud Orchestrator no solo pone en riesgo la integridad de los datos y la seguridad de las redes, sino que también destaca la necesidad de una vigilancia constante y actualizaciones regulares en las infraestructuras tecnológicas. Las empresas deben actuar con diligencia y asegurar que sus sistemas estén debidamente parchados y monitoreados para prevenir futuros ataques que puedan comprometer su operación y su reputación en el mercado. La evolución de las tácticas de los atacantes resalta la importancia de mantener una postura de ciberseguridad proactiva y robusta.

◢ VULNERABILIDADES ◣

Arista Warns of Critical VeloCloud SQL Injection Zero-Day Exploited in Attacks

⟫ 22/10/2026 ⟫ info@thehackernews.com (The Hacker News)

Source: The Hacker News

Attackers are exploiting a zero-day SQL injection flaw in Arista's VeloCloud Orchestrator (VCO), thecentral management systemfor VeloCloud SD-WAN networks, the company said in anadvisoryon October 22. The flaw lets anyone who can log in to the orchestrator, even with a read-only customer account, gain operator privileges, the top level of control over it. For on-premises orchestrators, the fix is in VCO 5.2.3.18, 6.1.3.10, and 6.4.2.12, while Hosted and Dedicated orchestrators have already been patched. The flaw is tracked asCVE-2026-114625and rated 9.9 on the CVSS scale. Orchestrators running the releases that fixed the VCO flaws exploited in July and September are still affected, because those releases are older than the new fixes. Arista bought the VeloCloud SD-WAN product line from Broadcom, announcing the deal in July 2025. The products were earlier known as VMware SD-WAN by VeloCloud. To exploit the flaw, an attacker needs network access to the orchestrator's web interface and a valid login. The minimum role is Enterprise Read Only, the lowest built-in role for customer users. VCO is exposed by default, and no VCO setting prevents the exposure. In VCO, operators create the customer and partner accounts, and each partner can manage a group of customers. The flaw allows an attacker to act as a local superuser, arole with full access. It may also allow an attacker to affect the VCO host itself and expose, modify, or disrupt the orchestrator and the data it manages. The advisory does not say when the attacks began, which orchestrators were hit, or what the attackers did after exploiting the flaw. The new flaw is the third in VCO since late July that Arista has reported as exploited, and the first of the three that requires a login. Neither theJuly flaw(CVE-2026-16812) nor theSeptember flaw(CVE-2026-93952) needed one. Each affected release train has its own fix, shown here beside the release that fixed September's flaw on the same train. VeloCloud Gateway and VeloCloud Edge are not affected. The 7.0 release train is not on the list, and Arista says any release not on the list is not vulnerable. Arista has not checked releases that have reached end of support. Customers on an unsupported release train can contact Arista's Technical Assistance Center (TAC) about upgrade options. As of October 22, September's flaw isfixed only in the 5.2 and 6.4 trains. On 6.1, it affects releases up to 6.1.3.7, and no fixed release is listed. Neither advisory says whether 6.1.3.10 also fixes the September flaw. Until the fixed release is installed, Arista recommends these steps: Limit access to the VCO web interface to trusted administrative networks. Monitor the VCO for connections from known malicious IP addresses. Watch for unexpected outbound network activity from the VCO host. Consider blocking outbound ports that normal operation does not need. Watch for backdoor daemons and webshells. Review recent administrator activity for unexpected changes. Two IP addresses have been seen carrying out the attacks, according to Arista. Block them and check logs for any sign of them: Also check VCO web access logs for requests with unusual URL-like path components, encoded characters, references to local or internal services, or high request rates. If you suspect a compromise, save evidence before fixing anything, where possible. That means the VCO web access, backend application, system and database logs, along with the relevant file-system timestamps. Regarding the July and September flaws, Arista warned that a compromised orchestrator could also grant attackers access to VeloCloud Edge devices. For this flaw, the advisory does not say whether the risk applies or whether upgrading removes access that an attacker has already gained.

← VOLVER A CIBERSEGURIDAD