A quién va dirigido: equipos de redes y seguridad que ejecutan en su propia infraestructura la plataforma de gestión SD-WAN de Arista, VeloCloud Orchestrator (VCO). Esta página se basa en los avisos de seguridad de Arista y en los datos públicos de CISA. No explica cómo funcionan los ataques.
En desarrollo: esta página se actualizará cuando haya más información
A las 03:45 UTC del 24 de octubre de 2026Aún no se sabe
- Cuándo empezó la explotación y quién está detrás
- Por qué la rama 7.0 no figura y si hay correcciones para 7.0 de las fallas de julio y septiembre
- Versiones corregidas de la falla de septiembre (CVE-2026-93952) en la rama 6.1
- Avisos de organismos públicos japoneses (JPCERT/CC, IPA)
Arista publicó el Security Advisory 0199 (revisión 1.0) el 22 de octubre y CISA añadió la falla a KEV el 23 de octubre. Ninguna de las dos ha dicho cuándo empezó la explotación ni quién está detrás. Ni el aviso ni la entrada de KEV mencionan código de explotación público. Esta página se actualizará cuando se revise el aviso.
Qué hacer hoy (VCO on-prem)
Compruebe su versión y elija la versión de destino
Compruebe su versión de VCO y use la tabla de abajo para elegir la versión a la que pasar. Las correcciones de esta falla (5.2.3.18, 6.1.3.10, 6.4.2.12) son más recientes que las de julio y septiembre. Debe actualizar de nuevo aunque ya las haya aplicado.
Conserve los registros y las marcas de tiempo de archivos antes de actualizar
Si se sospecha un compromiso, Arista pide a los operadores conservar, antes de remediar, los registros de acceso web de VCO, los registros de la aplicación backend, los registros del sistema, los registros de la base de datos y las marcas de tiempo relevantes del sistema de archivos. Cópielos a otro lugar antes de que una actualización o reconstrucción los sobrescriba.
Actualice a la versión corregida
Pase a la última versión corregida de su rama. Este aviso indica que las versiones no incluidas en la lista no son vulnerables, y 7.0 no figura. Como tampoco figuran correcciones para 7.0 en las fallas de julio y septiembre, confirme con Arista TAC (Technical Assistance Center); esta es recomendación de este sitio, no del aviso. Las versiones sin soporte no han sido evaluadas.
Restrinja quién puede acceder a la interfaz de gestión
Arista indica que VCO está expuesto por defecto y que ninguna configuración puede evitar la exposición. Use el firewall delante de VCO para limitar el acceso a la interfaz web a redes administrativas de confianza. Antes de restringir, confirme de qué conexiones depende la operación, como los dispositivos VeloCloud Edge que se conectan a VCO.
Busque señales de compromiso
Siga las comprobaciones de la sección siguiente. Arista no ha dicho cuándo empezó la explotación, así que retroceda tanto como permitan sus registros conservados. El aviso también incluye direcciones de origen vistas en los ataques. Abra el aviso de Arista y compare esa lista con sus propios registros.
Revise las cuentas de usuario
Esta falla se puede explotar con el rol de inquilino integrado más bajo, Enterprise Read Only. Desactive las cuentas sin uso, las de antiguos empleados o contratistas y las compartidas, y revise las contraseñas de las cuentas que conserve.
Versiones corregidas por rama (tres avisos lado a lado)
Cada aviso nombra sus propias versiones corregidas. Para elegir un destino por rama, este sitio ha alineado los tres avisos de Arista.
| Rama | Julio: CVE-2026-16812 (SA-0144) | Septiembre: CVE-2026-93952 (SA-0183) | Octubre: CVE-2026-114625 (SA-0199) | Destino |
|---|---|---|---|---|
| 5.2 | Corregido en 5.2.3.14 y posteriores | Corregido en 5.2.3.16 y posteriores | Corregido en 5.2.3.18 y posteriores | 5.2.3.18 o posterior |
| 6.1 | Corregido en 6.1.3.4 y posteriores | Afectadas: 6.1.3.7 y anteriores. No figura corrección para 6.1 | Corregido en 6.1.3.10 y posteriores | 6.1.3.10 o posterior (confirme la falla de septiembre con Arista TAC) |
| 6.4 | Corregido en 6.4.2.4 y posteriores | Corregido en 6.4.2.8 y posteriores | Corregido en 6.4.2.12 y posteriores | 6.4.2.12 o posterior |
| 7.0 | Afectadas: anteriores a 7.0.0.1. No figura corrección para 7.0 | Afectadas: 7.0.0.2 y anteriores. No figura corrección para 7.0 | No figura (el aviso indica que las versiones no listadas no son vulnerables) | Confirme con Arista TAC (no figuran correcciones para 7.0 en julio ni septiembre) |
| Fin de soporte | No evaluadas | Contacte con TAC | No evaluadas | Confirme con Arista TAC |
El aviso de septiembre (SA-0183) dice que las correcciones para otras ramas "se añadirán con el tiempo" (revisión 1.1, comprobado el 24 de octubre).
Julio SA-0144
Corregido en 5.2.3.14
Septiembre SA-0183
Corregido en 5.2.3.16
Octubre SA-0199
Corregido en 5.2.3.18 (vaya aquí)
Qué divulgó Arista
- CVE
- CVE-2026-114625
- Tipo
- Inyección SQL (CWE-89)
- Gravedad
- CVSS v4.0 9.4, v3.1 9.9 (puntuaciones de Arista, que NVD también lista)
- Impacto
- Cualquier usuario autenticado puede obtener privilegios de operador y hacerse pasar por un "superusuario operador" local. Esto permite acceder de forma remota a funciones solo internas y puede comprometer la confidencialidad, la integridad y la disponibilidad del orquestador y de los datos que gestiona
- Requisitos
- Acceso de red a la interfaz web de VCO y una sesión autenticada válida. El rol mínimo es Enterprise Read Only, el rol de inquilino integrado más bajo. VCO está expuesto por defecto y ninguna configuración evita la exposición
- Afectado
- VeloCloud Orchestrator On-Prem: 5.2.x anteriores a 5.2.3.18, 6.1.x anteriores a 6.1.3.10, 6.4.x anteriores a 6.4.2.12. La rama 7.0 no figura; el aviso indica que las versiones no listadas no son vulnerables. Las versiones sin soporte no han sido evaluadas
- No afectado
- VeloCloud Edge, VeloCloud Gateway, productos de Arista basados en EOS y otros
- Hosted
- VCO alojado, incluido Dedicated, estaba afectado y ya fue parcheado
- Explotación
- Detectada por Arista y "se sabe que se explota activamente"
CISA añadió CVE-2026-114625 a KEV el 23 de octubre y fijó el 26 de octubre como fecha límite para las agencias federales de EE. UU. La entrada de KEV la marca como que requiere triaje forense. El uso conocido en ransomware figura como "Unknown" (desconocido).
Tres fallas explotadas en tres meses
27 de julio de 2026
Arista divulga CVE-2026-16812 (inyección de comandos del sistema operativo, CVSS 10.0) en SA-0144. No requiere inicio de sesión. Descubierta externamente y se sabe que se explota. CISA la añade a KEV el mismo día (fecha límite 30 de julio).3 de agosto
SA-0144 se revisa para añadir VCO alojado (Hosted) a las plataformas afectadas.22 de septiembre
Arista divulga CVE-2026-93952 (validación de entrada incorrecta, CVSS v3.1 10.0, v4.0 9.5) en SA-0183. No requiere inicio de sesión. Se aplica cuando está configurada la autenticación basada en certificados de VeloCloud Edge a VCO. Descubierta externamente y se sabe que se explota. CISA la añade a KEV el mismo día (fecha límite 25 de septiembre).22 de octubre
Arista divulga CVE-2026-114625 (inyección SQL, CVSS v4.0 9.4) en SA-0199, detectada por la propia Arista y se sabe que se explota.23 de octubre
CISA la añade a KEV (fecha límite 26 de octubre).
Las fallas de julio y septiembre no requieren inicio de sesión; la de octubre sí. Los tipos de error son distintos, pero los tres avisos describen el mismo resultado: acceso remoto a funciones solo internas que pueden afectar al host de VCO. Los tres enumeran controles provisionales comunes, como limitar la interfaz web a redes administrativas.
Cómo comprobar si hubo compromiso (según los avisos)
Conserve la evidencia antes de corregir
Arista pide a los operadores que sospechen un compromiso que conserven los registros de acceso web de VCO, los registros de la aplicación backend, los registros del sistema, los registros de la base de datos y las marcas de tiempo relevantes del sistema de archivos antes de remediar, donde sea operativamente factible. Si actualiza o reconstruye primero, destruye lo que necesita para investigar.
| Dónde mirar | Qué comprobar (según el aviso) |
|---|---|
| Registros de acceso web | Componentes de ruta inusuales con forma de URL, caracteres codificados, referencias a servicios locales o internos, altas tasas de solicitudes |
| Direcciones de origen | Conexiones desde las fuentes de ataque listadas en el aviso (revise la lista en el aviso de Arista) |
| Tráfico saliente desde VCO | Conexiones salientes inesperadas. Considere bloquear los puertos de salida que no se necesiten para el funcionamiento normal |
| En el host | Demonios de puerta trasera y webshells |
| Actividad de administradores | Cambios recientes que nadie de su equipo hizo |
Los avisos de julio (SA-0144) y septiembre (SA-0183) añaden más: cambios de configuración sensibles que no coinciden con el trabajo de los administradores; ejecución inesperada de comandos, creación de archivos, exportaciones o archivos comprimidos de la base de datos; y acceso inesperado al contenido de la base de datos, la configuración, el inventario de dispositivos, credenciales, certificados o claves. SA-0183 también enumera artefactos específicos de archivos y registros. Si los encuentra, Arista pide conservar el estado del VCO y contactar con Arista TAC.
Si encuentra un compromiso
Los avisos de julio y septiembre enumeran pasos posteriores a la remediación. Advierten que un VCO comprometido también puede dar a los atacantes acceso a los dispositivos VeloCloud Edge.
- Rote las credenciales
- Revise la actividad de los administradores
- Valide el estado de los dispositivos gestionados (Edges)
- Restaure o reemplace el orquestador desde fuentes de confianza
Opinión de este sitio: mantenga los planos de gestión fuera de internet
VCO es donde se gestiona la configuración de los dispositivos SD-WAN de cada sucursal. Los propios avisos de Arista dicen que un VCO comprometido puede exponer los dispositivos Edge que gestiona.
Los tres avisos requieren acceso de red a la interfaz web de VCO. Dos de ellos, julio y octubre, dicen que VCO está expuesto por defecto y que ninguna configuración evita la exposición. Si el operador no restringe el acceso en la capa de red, la próxima falla partirá de la misma posición expuesta. Con un ritmo de tres en tres meses, esperar cada corrección no basta por sí solo.
Prácticas que lo dejan expuesto a la próxima falla
- Se puede acceder a la interfaz de gestión desde cualquier lugar de internet
- El trabajo termina cuando se aplica el parche
- Las cuentas de solo lectura se dejan como están porque "no pueden hacer nada"
- El tráfico saliente de VCO no tiene restricciones
Prácticas que limitan la próxima falla
- La interfaz de gestión solo es accesible desde una red de administración o VPN
- Los registros se conservan y se revisan en busca de señales de compromiso en cada actualización
- Las cuentas se revisan con regularidad y las que no se usan se desactivan
- El tráfico saliente de VCO se limita a los destinos que la operación necesita
El mismo patrón se repite con las interfaces de gestión de VPN y firewalls. Para saber cómo encontrar y proteger las interfaces de gestión expuestas a internet, consulte defensa del acceso remoto para dispositivos VPN. Para entender por qué las inclusiones en KEV pasan al principio de la cola, consulte cómo decidir qué parchear primero con CVSS, EPSS y KEV.
Lo que aún no se sabe
| Elemento | Estado |
|---|---|
| Explotación activa | Confirmada (Arista, CISA) |
| Cuándo empezó la explotación y quién está detrás | No se indica |
| Número de organizaciones afectadas | No se indica |
| Código de explotación público | No se indica (aviso y KEV) |
| Por qué la rama 7.0 no figura | No se indica (el aviso dice que las versiones no listadas no son vulnerables) |
| Correcciones para 6.1 y 7.0 de la falla de septiembre | No figuran ("se añadirán con el tiempo") |
| Avisos públicos japoneses | Al 24 de octubre, no se encontró ninguna alerta de JPCERT/CC ni de IPA |
No se ha publicado ninguna lista de organizaciones que usen VCO, y este sitio no especula sobre usuarios concretos.
Fuentes
- Arista, "Security Advisory 0199" (CVE-2026-114625, 22 de octubre de 2026, revisión 1.0) — arista.com
- Arista, "Security Advisory 0183" (CVE-2026-93952, 22 de septiembre de 2026, revisión 1.1) — arista.com
- Arista, "Security Advisory 0144" (CVE-2026-16812, 27 de julio de 2026, revisión 1.2) — arista.com
- CISA, "Known Exploited Vulnerabilities Catalog" (CVE-2026-114625) — cisa.gov
- NVD, "CVE-2026-114625" — nvd.nist.gov
Historial de actualizaciones
2026-10-24: Primera publicación, basada en los tres avisos de Arista (SA-0144, SA-0183, SA-0199) y en el catálogo KEV de CISA.
Lecturas siguientes
- Protección de dispositivos expuestos a internet: Defensa del acceso remoto para dispositivos VPN
- Priorización: Cómo decidir qué parchear primero con CVSS, EPSS y KEV
- Comprobación de compromiso: Cómo comprobar si su servidor fue hackeado
- Otra falla urgente la misma semana: PHP CVE-2026-109618 y CVE-2026-109619
- Términos: ¿Qué es la inyección SQL? / ¿Qué es CVSS?