CISA incorpora a KEV una inyección SQL explotada en VeloCloud Orchestrator
CVE-2026-114625 permite escalar privilegios en VeloCloud Orchestrator local. CISA la añadió al catálogo KEV; Arista fija versiones corregidas y confirma explotación activa.
El 23 de octubre, CISA añadió CVE-2026-114625 al catálogo KEV de vulnerabilidades explotadas conocidas. La entrada fija el 26 de octubre como fecha de actuación para las agencias civiles federales de Estados Unidos. Arista ya había publicado el día anterior su aviso de seguridad y reconoce que el fallo está siendo explotado activamente en VeloCloud Orchestrator desplegado en las instalaciones del cliente.
La vulnerabilidad es una inyección SQL en el plano de gestión de VeloCloud Orchestrator (VCO). Según Arista, cualquier usuario autenticado puede elevarse a privilegios de operador local y hacerse pasar por un “superuser operator”, con acceso a funciones internas que no deberían estar expuestas de forma remota. La puntuación CVSS 3.1 es 9,9; su vector indica ataque por red, baja complejidad, privilegios previos bajos y ninguna interacción de la víctima. La autenticación exigida reduce quién puede iniciar el ataque, pero una cuenta de solo lectura comprometida deja de ser un límite fiable.
-InfraCrew dice: «usuario autenticado» describe quién llega a la puerta; aquí no dice nada tranquilizador sobre hasta dónde puede entrar.-
El impacto posible alcanza la confidencialidad, integridad y disponibilidad del propio orquestador y de los datos que administra. VCO no es una consola de inventario aislada: coordina políticas y operación de redes SD-WAN. Por eso, una elevación de privilegios en este componente puede comprometer la autoridad desde la que se gestionan muchos extremos; no equivale a afirmar que todos los Edge o Gateways sean vulnerables ni que cada cliente haya sufrido una intrusión.
El alcance publicado es concreto. Están afectados los VCO on-prem de las ramas 5.2.x anteriores a 5.2.3.18, 6.1.x anteriores a 6.1.3.10 y 6.4.x anteriores a 6.4.2.12. Arista indica que las versiones Hosted, incluidas las dedicadas, también estuvieron afectadas, pero que ya han sido parcheadas. Las versiones fuera de soporte no se evaluaron: si una instalación antigua no aparece en la matriz, eso no permite concluir que sea segura; toca pedir una evaluación al soporte del fabricante.
-InfraCrew dice: una matriz de versiones concreta ahorra muchas reuniones; una rama EOL fuera de evaluación las vuelve a convocar todas.-
Para los equipos que operan VCO localmente, el primer trabajo es inventariar la versión exacta y el modelo de despliegue, no guiarse por el nombre comercial de la flota. Si la instancia cae dentro de una rama afectada, la corrección indicada por Arista es actualizar a la versión parcheada correspondiente. El aviso no convierte la fecha federal de CISA en una obligación legal universal para empresas españolas, pero sí deja claro el orden de prioridad: exposición y acceso a la interfaz, versión instalada y ventana de actualización compatible con la operación.
La inclusión en KEV confirma que existe explotación conocida; no confirma una campaña de ransomware. CISA marca ese uso como desconocido y exige a las agencias federales que sigan sus requisitos de triaje forense. Para cualquier operador que encuentre indicios de abuso, conviene preservar los registros y coordinar la respuesta con su equipo de seguridad y el soporte de Arista antes de hacer cambios que borren evidencia. La urgencia es real, aunque la ficha pública no identifica víctimas ni cuantifica cuántas instancias se han atacado.
El matiz operativo importa: VCO puede ser una dependencia de alto privilegio para la red distribuida, pero la exposición descrita no se debe extender automáticamente a VeloCloud Edge, Gateways u otros productos. La decisión de parchear tiene que seguir la versión del orquestador y el tipo de despliegue. En este caso, «tenemos MFA» tampoco sustituye la corrección: el fallo parte de una cuenta ya autenticada y altera el nivel de autorización que esa sesión debería conservar.
-InfraCrew dice: el parche está claro; cuando la rama lleva años sin soporte, la parte difícil vuelve a ser acordar una ruta segura con el fabricante.-
Diccionario de la Crew
CVE — Identificador público asignado a una vulnerabilidad concreta.
KEV — Catálogo de CISA que registra vulnerabilidades para las que existe evidencia de explotación conocida.
VCO — VeloCloud Orchestrator, plano de gestión de la red SD-WAN de VeloCloud.
Inyección SQL — Fallo que permite alterar consultas a una base de datos mediante entradas que la aplicación no trata de forma segura.
CVSS — Sistema común para expresar la severidad técnica de una vulnerabilidad; la puntuación no sustituye el análisis de exposición de cada instalación.
