Arista corrige la tercera vulnerabilidad de VeloCloud activamente explotada en tres meses

El 22 de octubre de 2026, Arista Networks corrigió una vulnerabilidad de día cero en VeloCloud Orchestrator que los atacantes ya habían explotado. Esta falla expone a las empresas a riesgos, ya que afecta al sistema utilizado para gestionar las conexiones de red entre múltiples sitios.

Cómo una cuenta de solo lectura puede convertirse en superusuario

El Advisory 0199 de Arista identifica la vulnerabilidad como CVE-2026-114625, una vulnerabilidad de inyección SQL clasificada con 9.9 según CVSS v3.1. El peligro radica en el grado de control que puede obtener un atacante, incluso con el nivel de acceso más bajo.

Para aprovechar la vulnerabilidad, un atacante necesita acceso a la interfaz web y credenciales de inicio de sesión válidas. Una vez conectado, el atacante puede utilizar la vulnerabilidad de inyección SQL para elevar una cuenta de Enterprise Read Only (solo lectura), que es el rol con los privilegios más bajos de la plataforma, a privilegios de operador e impersonar a un superusuario. Por lo tanto, la vulnerabilidad permite que alguien con acceso de solo lectura obtenga el control de la plataforma. Arista confirmó que los atacantes ya han explotado esta vulnerabilidad.

Los parches y la lista de verificación forense

Los operadores on-premises deben verificar sus versiones de software. Las versiones afectadas 5.2.x, 6.1.x y 6.4.x requieren las compilaciones corregidas 5.2.3.18, 6.1.3.10 y 6.4.2.12, respectivamente, o versiones posteriores dentro de esas series. Los despliegues alojados y dedicados ya están parcheados.

Según Arista, ambos ataques se originaron desde las siguientes direcciones IP de origen: 74.82.197.86 y 38.54.50.151. La empresa recomienda a los administradores de sistemas investigar solicitudes web sospechosas, conexiones salientes inesperadas y actividad administrativa inusual. También sugiere limitar el acceso a la gestión a redes confiables y conservar los registros pertinentes en caso de una brecha de seguridad sospechada.

La tercera falla de VeloCloud desde el verano

La vulnerabilidad de inyección SQL es la tercera falla activamente explotada reportada en VeloCloud Orchestrator en tres meses.

El advisory 0144 de Arista, emitido por primera vez el 27 de julio de 2026, cubría una vulnerabilidad de inyección de comandos del sistema operativo. Otra falla fue divulgada el 22 de septiembre a través del advisory 0183. Ambas involucraban métodos de ataque diferentes a los de la vulnerabilidad más reciente.

Aunque existen diferencias entre las tres vulnerabilidades, todas afectaron a la misma plataforma de gestión central. Dado que VeloCloud Orchestrator gestiona las conexiones entre múltiples sitios, una brecha en la plataforma podría comprometer varias redes.

Los parches llegan después de los exploits

El Informe de Investigaciones sobre Brechas de Datos 2026 de Verizon reveló que la explotación de vulnerabilidades representó el 31 % de las brechas de datos. Ha superado a las credenciales robadas como el método principal que utilizan los atacantes para acceder a las redes. Los resultados enfatizan la necesidad de que las empresas corrijan las vulnerabilidades antes de que los atacantes se aprovechen de ellas.

Sin embargo, las empresas suelen no poder corregir las vulnerabilidades antes de que los atacantes se aprovechen de ellas. Según el informe Google M-Trends 2026, los atacantes explotan las vulnerabilidades del sistema durante un promedio de siete días antes de que esté disponible una corrección. El informe también mencionó algunas amenazas contra dispositivos de red, como VPN y routers, que carecen de una supervisión estándar de puntos finales.

La IA podría hacer que la situación sea más peligrosa. En una investigación separada, investigadores de Google documentaron a atacantes utilizando IA para planificar y ejecutar una campaña de recolección masiva de credenciales en menos de seis horas. La operación comprometió miles de credenciales de terceros.

Aunque no hay pruebas confirmadas de que la IA haya tenido un papel en los ataques a VeloCloud, los hallazgos de Google muestran cómo las operaciones asistidas por IA pueden ayudar a los atacantes a actuar más rápido y causar mayores daños antes de que los equipos de seguridad puedan responder.

Por qué son importantes las correcciones sucesivas para un mercado en crecimiento

Los ciberataques pueden tener graves consecuencias financieras. El estudio de IBM de 2026 estimó el costo global promedio de una violación de datos en 4,99 millones de dólares. Las preocupaciones por las amenazas emergentes también están aumentando. El Foro Económico Mundial descubrió que el 87% de los encuestados consideró que las vulnerabilidades relacionadas con la IA son el riesgo cibernético de más rápido crecimiento durante 2025.

El impacto potencial podría aumentar a medida que más empresas adopten SD-WAN (redes de área amplia definidas por software), que conectan múltiples oficinas y permiten a las empresas gestionar el tráfico de red de forma centralizada. Dell’Oro Group pronostica un crecimiento anual del 14% en los ingresos de SD-WAN hasta 2030. A medida que estas redes se expandan, un controlador central comprometido podría interrumpir las operaciones comerciales en varias ubicaciones, afectando potencialmente a empresas en diferentes países.

Los mercados financieros enfrentan preocupaciones similares ante posibles interrupciones operativas. Cryptopolitan informó previamente sobre intentos de ciberataques contra importantes fondos de cobertura, lo que suscita interrogantes sobre un posible efecto derrame en los mercados de criptomonedas. Aunque estos incidentes fueron independientes de los ataques a VeloCloud, destacan la importancia de proteger los sistemas críticos. Para las empresas que utilizan VeloCloud, esto implica aplicar parches, buscar indicios tempranos de compromiso y asegurar los sistemas que conectan sus sucursales.

Si estás leyendo esto, ya vas por delante. Mantente así con nuestro boletín.