Arista Networks corrigió el 22 de octubre de 2026 una vulnerabilidad zero-day explotada activamente en su VeloCloud Orchestrator, cerrando una falla que permitía a atacantes con el nivel de acceso más bajo de la plataforma tomar el control del sistema utilizado para gestionar conexiones de red en múltiples sitios. La etiqueta de zero-day refleja que la falla estaba siendo atacada antes de que existiera una corrección. Arista adquirió la plataforma VeloCloud a Broadcom en 2025.

De cuenta de solo lectura a superusuario

Arista detalló la vulnerabilidad en el asesoría de seguridad 0199, que la identifica como CVE-2026-114625, una falla de inyección SQL —una clase de ataque de larga data en la que una entrada manipulada altera consultas a la base de datos— con una puntuación de 9.9 sobre 10 bajo CVSS v3.1. El peligro radica en cuánto control puede obtener un atacante desde el nivel de privilegios más bajo.
La explotación requiere acceso a la interfaz web y credenciales de inicio de sesión válidas. Una vez autenticado, el atacante puede aprovechar la inyección SQL para elevar una cuenta Enterprise Read Only —el rol de menores privilegios de la plataforma— a privilegios de operador y hacerse pasar por un superusuario. En la práctica, una cuenta de solo lectura puede convertirse en el control total de la plataforma. Arista confirmó que atacantes ya han explotado la vulnerabilidad en la naturaleza.

Parches y una lista de verificación forense

Los operadores de despliegues locales deben verificar sus versiones de software. Las versiones afectadas de las series 5.2.x, 6.1.x y 6.4.x requieren las compilaciones corregidas 5.2.3.18, 6.1.3.10 y 6.4.2.12, respectivamente, o versiones posteriores de esas series. Los despliegues Hosted y Dedicated, que se ejecutan en infraestructura operada por Arista, ya han sido parcheados. Mientras tanto, los despliegues locales que aún no se hayan actualizado a las compilaciones corregidas permanecen expuestos.

Según Arista, ambos ataques se originaron desde dos direcciones IP de origen: 74.82.197.86 y 38.54.50.151. La empresa recomienda a los administradores de sistemas investigar solicitudes web sospechosas, conexiones salientes inesperadas y actividad inusual de administradores. También aconseja limitar el acceso de gestión a redes confiables y conservar los registros relevantes en caso de una presunta brecha.

La tercera falla de VeloCloud desde el verano

La inyección SQL marca la tercera falla explotada activamente reportada en VeloCloud Orchestrator en tres meses. La asesoría 0144 de Arista, emitida por primera vez el 27 de julio de 2026, cubría una vulnerabilidad de inyección de comandos, mientras que otra falla fue divulgada el 22 de septiembre mediante la asesoría 0183. Ambas involucraban métodos de ataque distintos de la última vulnerabilidad, pero las tres afectaron la misma plataforma central de gestión.

Dado que VeloCloud Orchestrator gestiona conexiones en múltiples sitios, una brecha en la plataforma podría comprometer varias redes simultáneamente.

Los parches llegan después de las explotaciones

Los datos de la industria reflejan el patrón de explotaciones que superan a laediación. El Informe de Investigaciones de Brechas de Datos 2026 de Verizon encontró que la explotación de vulnerabilidades representó el 31% de las brechas de datos, superando al robo de credenciales como el principal método que usan los atacantes para acceder a las redes. Los resultados subrayan la necesidad de que las empresas corrijan las vulnerabilidades antes de que los atacantes puedan aprovecharlas.

En la práctica, las empresas frecuentemente no pueden hacerlo. El informe M-Trends 2026 de Google encontró que los atacantes explotan vulnerabilidades de sistemas durante un promedio de siete días antes de que haya una corrección disponible. El informe también destacó amenazas contra dispositivos de red como VPN y routers, que carecen de monitoreo estándar de endpoints.

La IA podría agudizar el riesgo. En una investigación separada, investigadores de Google documentaron atacantes que usaron IA para planificar y ejecutar una campaña de recolección de credenciales a gran escala en menos de seis horas, una operación que comprometió miles de credenciales de terceros. No hay evidencia confirmada de que la IA haya participado en los ataques a VeloCloud, pero los hallazgos de Google muestran cómo las operaciones asistidas por IA pueden ayudar a los atacantes a moverse más rápido y potencialmente causar mayores daños antes de que los equipos de seguridad puedan responder.

Por qué las correcciones sucesivas importan en un mercado en crecimiento

Los ciberataques pueden tener graves consecuencias financieras. El estudio de 2026 de IBM estimó el costo global promedio de una brecha de datos en 4.99 millones de dólares. Las preocupaciones sobre amenazas emergentes también aumentan: el Foro Económico Mundial encontró que el 87% de los encuestados consideró las vulnerabilidades relacionadas con la IA como el riesgo cibernético de más rápido crecimiento durante 2025.

El impacto potencial podría crecer a medida que más empresas adopten SD-WAN —redes de área amplia definidas por software que conectan múltiples oficinas y permiten a las empresas gestionar el tráfico de red de forma centralizada. Dell'Oro Group pronostica un crecimiento anual de los ingresos de SD-WAN del 14% hasta 2030. A medida que estas redes se expanden, un controlador central comprometido podría interrumpir operaciones comerciales en múltiples ubicaciones, afectando potencialmente a empresas en distintos países.

Los mercados financieros enfrentan preocupaciones similares sobre interrupciones operativas. Cryptopolitan informó previamente intentos de ciberataques contra importantes fondos de cobertura, generando preguntas sobre un posible contagio en los mercados de criptomonedas. Esos incidentes fueron independientes de los ataques a VeloCloud, pero destacan la importancia de proteger los sistemas críticos.

Para las empresas que utilizan VeloCloud, las prioridades son aplicar los parches disponibles, revisar señales de un compromiso anterior y proteger los sistemas que conectan sus redes de sucursales.