Arista ha avisado de que un fallo grave en VeloCloud Orchestrator, el sistema con el que muchas empresas gestionan sus redes de oficinas y sucursales, ya se está explotando. El fallo, CVE-2026-114625, tiene una gravedad de 9.9 sobre 10: cualquier usuario con sesión en el orquestador, incluso el que menos permisos tiene, puede hacerse con privilegios de operador, el nivel interno más alto, y desde ahí afectar a toda la máquina. Hay versiones corregidas, y Arista pide actualizar cuanto antes.
VeloCloud es una solución de SD-WAN: en lugar de configurar a mano el router de cada sucursal, una empresa conecta todas sus sedes a un orquestador central desde el que define las rutas, la seguridad y el tráfico de toda su red. Nació como empresa independiente, pasó a VMware y después a Broadcom, que en julio de 2025 vendió esta línea de productos a Arista. El orquestador es justo la pieza más delicada: quien lo controla, controla la red de la empresa entera.
Arista publicó el aviso el 22 de octubre. Dice que el problema lo detectó ella misma y que ya hay ataques reales. Las versiones de VeloCloud que Arista aloja en su nube, incluidas las dedicadas, también estaban afectadas, pero ya están parcheadas; el riesgo está en los orquestadores que las empresas instalan en sus propios servidores.
Claves del fallo de VeloCloud Orchestrator
- Qué es: una inyección SQL, un tipo de fallo en el que datos que envía el usuario acaban interpretándose como parte de una consulta a la base de datos. En este caso permite a cualquier usuario autenticado hacerse pasar por un «superusuario operador» y usar funciones pensadas solo para uso interno.
- Qué necesita el atacante: acceso de red a la interfaz web del orquestador y una sesión válida con cualquier cuenta, aunque sea la de menor rango, de solo lectura. Según Arista, el orquestador queda expuesto en su configuración por defecto y ningún ajuste evita el problema.
- Versiones afectadas: VeloCloud Orchestrator instalado en las propias instalaciones (on-prem) en las ramas 5.2 anteriores a la 5.2.3.18, 6.1 anteriores a la 6.1.3.10 y 6.4 anteriores a la 6.4.2.12. Las versiones que ya no tienen soporte no se han evaluado. No están afectados los equipos VeloCloud Edge y Gateway ni el resto de productos de Arista.
- La gravedad: 9.9 en la escala CVSS 3.1 y 9.4 en la nueva CVSS 4.0. Que baste con la cuenta más básica lo convierte en un riesgo real en cualquier empresa con muchos usuarios o con contraseñas de terceros, como proveedores o integradores.
- No es el primero de este año: la agencia de ciberseguridad de Estados Unidos, CISA, ya había añadido otros dos fallos de VeloCloud Orchestrator a su catálogo de vulnerabilidades explotadas, en julio y en septiembre. Este todavía no aparece en él.
Qué deben hacer los administradores de VeloCloud
La solución completa es actualizar a la 5.2.3.18, la 6.1.3.10 o la 6.4.2.12, o a una posterior de la misma rama. Quien use una versión sin soporte tiene que contactar con el soporte técnico de Arista para ver cómo actualizar. Mientras tanto, y también después, el aviso recomienda:
- Limitar quién llega a la interfaz web del orquestador: solo desde las redes de administración de confianza, nunca abierta a internet si no hace falta.
- Revisar los registros de acceso web en busca de actividad inesperada: peticiones con rutas inusuales, caracteres codificados, referencias a servicios internos o ritmos de peticiones muy altos.
- Bloquear y buscar las dos direcciones que Arista ha visto lanzando los ataques: 74.82.197.86 y 38.54.50.151.
- Vigilar el propio servidor: conexiones salientes inesperadas, puertos de salida que no hagan falta, procesos o programas de puerta trasera, webshells y cambios recientes de los administradores que nadie reconozca.
- Si se sospecha una intrusión, guardar antes de tocar nada los registros web, de la aplicación, del sistema y de la base de datos, y las fechas de modificación de los archivos, para poder investigar después.
El caso se suma a una semana en la que los fallos que ya se explotan se han acumulado, del fallo crítico de PHP al ataque a LiteLLM. Y recuerda una regla que los atacantes conocen bien: los sistemas que administran la red de una empresa son de los objetivos más valiosos, porque desde ellos se llega a todo lo demás.
Más fuentes: registro CVE-2026-114625; catálogo de vulnerabilidades explotadas de CISA; nota de Arista sobre la compra de VeloCloud (1 de julio de 2025). Portada: logotipo de Arista y esquema de decodigo.com.
Fuente: Arista, Security Advisory 0199, 22 de octubre de 2026