CVE-2026-93952
VeloCloud Orchestrator (VCO) on-prem tiene un problema de seguridad que puede permitir a un atacante remoto acceder a funcionalidad interna privilegiada e impactar el host VCO. La explotación exitosa puede comprometer la confidencialidad, la integridad y la disponibilidad del orquestador y de los datos gestionados por el orquestador. Las versiones Hosted, incluyendo Dedicated, de VCO se vieron afectadas y ya han sido parcheadas.
Explotada activamente
- En el catálogo CISA de vulnerabilidades explotadas desde el 22 sept 2026
- Las agencias federales de EE. UU. deben corregirla antes del 25 sept 2026 (BOD 22-01)
- Atacada el mismo día de la divulgación
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Fuente: CISA KEV · 22 sept 2026 22 sept 2026
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:HProductos afectados
| Fabricantes | Producto | Versiones |
|---|---|---|
| arista | velocloud orchestrator | < 5.2.3.16 |
Artículos relacionados
Arista corrige un fallo de VeloCloud Orchestrator que ya se explota activamente (CVE-2026-114625)
Arista publica actualización para fallo crítico en VeloCloud Orchestrator local explotado activamente con inyección SQL para escalar privilegios.
CISA añade dos vulnerabilidades explotadas al catálogo KEV y da tres días a las agencias federales para aplicar los parches
CISA añade CVE-2026-5430 (WSO2) y CVE-2026-71362 (Adobe) al KEV por explotación activa; parche federal antes del 27 de septiembre.
Los ataques activos convierten las vulnerabilidades de VPN y gestión de Check Point en una prioridad inmediata de parcheo
Check Point confirma explotación activa de CVE-2026-85102 y CVE-2026-93616 en VPN y gestión. CISA exige parchear antes del 25 de septiembre de 2026.
Una vulnerabilidad de BIG-IP APM explotada activamente permite a atacantes remotos ejecutar código
Falla crítica CVE-2026-94127 en BIG-IP APM explotada activamente permite código remoto sin autenticación. Conoce versiones afectadas y cómo mitigarla.
Ataques activos apuntan a servidores VeloCloud Orchestrator con certificados habilitados
Arista alerta de ataques activos a CVE-2026-93952 en VeloCloud Orchestrator local con certificados. Consulta versiones afectadas, riesgos y mitigación.
This product uses the NVD API but is not endorsed or certified by the NVD.
La descripción técnica es una traducción nuestra del texto original de NVD, en inglés.