Arista Networks ha publicado actualizaciones de seguridad para un zero-day crítico en las implementaciones locales de VeloCloud Orchestrator (VCO), que ya se está utilizando en ataques. VCO es el portal web desde el que los administradores configuran, supervisan y gestionan las redes WAN definidas por software de VeloCloud y los dispositivos de borde conectados a ellas.
La vulnerabilidad se identifica como CVE-2026-114625. Para llegar a ella solo se necesitan privilegios básicos, acceso de red a la interfaz web de VCO y una sesión autenticada válida. A partir de ahí, una inyección SQL de baja complejidad, sin necesidad de interacción del usuario, permite a un atacante escalar privilegios.
Según la descripción de Arista, la explotación «podría permitir a un atacante remoto acceder a funcionalidades internas privilegiadas y afectar al host de VCO», con posibles consecuencias para la confidencialidad, la integridad y la disponibilidad del orquestador y de los datos que gestiona. El fabricante fue más concreto sobre la vía de escalada: «En un sistema afectado, cualquier usuario autenticado puede obtener privilegios de operador y suplantar a un usuario superuser operator local», accediendo así a funciones reservadas para uso interno que nunca debían ser accesibles de forma remota.
Compilaciones parcheadas y soluciones alternativas
Para VCO instalado localmente, el aviso de Arista indica estas versiones corregidas: 5.2.3.18 y posteriores de la rama 5.2; 6.1.3.10 y posteriores de la rama 6.1; y 6.4.2.12 y posteriores de la rama 6.4. Las implementaciones alojadas, incluidas las instancias Dedicated, ya han sido parcheadas.
Para las instalaciones que todavía esperan la actualización, las recomendaciones provisionales de Arista abarcan tres áreas: restringir el acceso a la interfaz web de VCO a las redes de administración, vigilar las conexiones entrantes desde direcciones ya vinculadas a la campaña y revisar la actividad reciente de los administradores en busca de cambios no explicados. Los registros de acceso web merecen una revisión aparte: el fabricante señala como patrones a buscar las solicitudes con segmentos de ruta con aspecto de URL anómalos, caracteres codificados o referencias a servicios locales e internos, así como volúmenes de solicitudes inusualmente altos.
Se mencionan dos indicadores para bloquear: 74[.]82.197.86 y 38[.]54.50.151. Arista los describe como indicadores que han aparecido durante los ataques en curso.
Cuando se sospeche una intrusión, la empresa pide a los operadores que conserven los registros de acceso web de VCO, los registros de la aplicación de backend, los registros del sistema, los registros de la base de datos y las marcas de tiempo pertinentes del sistema de archivos antes de iniciar la remediación, «siempre que sea operativamente viable». Los clientes también pueden recurrir al Arista Networks Technical Assistance Center (TAC) para obtener más soporte.
Un patrón que se repite en 2026
El fallo de VCO es el cuarto zero-day de Arista en 2026 que la empresa parchea tras recibir informes de explotación activa. Los anteriores fueron CVE-2026-7473 en mayo, CVE-2026-16812 en julio y CVE-2026-93952 en septiembre, y afectaron tanto al Extensible Operating System (EOS) de Arista como a VCO en instalaciones locales.
Arista Networks forma parte de la lista Fortune 500 y es una de las mayores corporaciones estadounidenses por ingresos, con más de 10 000 clientes en todo el mundo, según informó BleepingComputer.
Actualización editorial: se han aclarado las ramas de versiones y los tipos de implementación a los que se aplican las correcciones.
