Arista publicó correcciones para una vulnerabilidad crítica en las instalaciones locales de VeloCloud Orchestrator, una plataforma usada para administrar redes SD-WAN. La falla, identificada como CVE-2026-114625, ya se explota activamente, según la compañía y reportes de seguridad citados en el aviso.

El problema no abre la puerta a un ingreso inicial sin credenciales. Para aprovecharlo, un atacante necesita una sesión autenticada válida en la interfaz web de VCO; aun así, Arista advirtió que un usuario con permisos básicos podría escalar hasta funciones de operador mediante una inyección SQL de baja complejidad.

Qué permite el fallo en VeloCloud Orchestrator

Según la descripción publicada, la vulnerabilidad puede hacer que una cuenta limitada se haga pasar por un usuario local con privilegios de “superusuario operador”. Eso habilitaría funciones internas que no fueron diseñadas para uso remoto y pondría en riesgo la confidencialidad, la integridad y la disponibilidad del orquestador y de los datos que administra.

Arista explicó que el ataque aprovecha una inyección SQL, técnica que introduce instrucciones en consultas de base de datos cuando una aplicación no valida bien la información recibida. La compañía también indicó que la explotación es de baja complejidad y que no exige interacción de otra persona, aunque sí parte de un usuario autenticado con permisos básicos.

La diferencia entre esas credenciales y los privilegios de operador es clave: con el escalamiento, una cuenta comprometida podría asumir capacidades reservadas dentro del sistema. La publicación no detalla incidentes concretos ni identifica a responsables de los ataques en curso.

Parche, versiones afectadas y señales de abuso

Arista informó que corrigió las instancias alojadas de VCO que ejecutan la versión 5.2.3.18 o posterior, la 6.1.3.10 o posterior y la 6.4.2.12 o posterior. Para los clientes con despliegues locales, la empresa difundió actualizaciones de seguridad y pidió aplicar las correcciones correspondientes cuanto antes.

Mientras se completa la actualización, recomendó limitar el acceso a la interfaz web de VCO solo a redes administrativas y vigilar conexiones desde direcciones IP observadas en ataques. Las IP señaladas son 74[.]82.197.86 y 38[.]54.50.151, aunque su sola presencia en los registros no prueba por sí misma una intrusión.

La compañía también sugirió revisar la actividad reciente de las cuentas administrativas y examinar los registros de acceso web. Entre los indicios mencionados figuran solicitudes con componentes de ruta poco habituales, caracteres codificados, referencias a servicios locales o internos y tasas elevadas de solicitudes.

Qué pidió Arista a los administradores

Si una organización sospecha un compromiso, Arista recomendó preservar la evidencia antes de iniciar la remediación, siempre que las condiciones operativas lo permitan. La lista incluye registros de acceso web de VCO, registros de la aplicación de backend, del sistema y de la base de datos, además de las marcas de tiempo pertinentes del sistema de archivos.

La empresa indicó que ese resguardo puede ayudar a reconstruir la actividad observada y a distinguir cambios legítimos de los que requieren investigación. También señaló que, si hace falta asistencia, los clientes pueden acudir a su centro de asistencia técnica.

El aviso, fechado el jueves 22 de octubre de 2026 y difundido luego por una publicación en X de DiarioBitcoin, presenta la vulnerabilidad como explotada activamente, pero no ofrece cifras de víctimas, organizaciones afectadas ni duración de las campañas.

Arista añadió que durante el año había corregido otras tres vulnerabilidades de día cero explotadas activamente: CVE-2026-7473 en mayo, CVE-2026-16812 en julio y CVE-2026-93952 en septiembre. Esas fallas afectaron despliegues locales de EOS y de VeloCloud Orchestrator, sin que el reporte establezca una causa o método de explotación común.