CISA alerta de ataques activos a Arista VeloCloud Orchestrator

El 23 de octubre, CISA confirmó que una vulnerabilidad de inyección SQL en VeloCloud Orchestrator on-premises de Arista se está explotando en la práctica. Añadió CVE-2026-114625 a su Catálogo de Vulnerabilidades Explotadas Conocidas y dio a las agencias civiles del Poder Ejecutivo federal hasta el 26 de octubre para corregirla. Tres días. Es un plazo corto incluso para los estándares recientes del catálogo KEV, y apunta a un equipo que ocupa el centro de una implementación SD-WAN: el plano de gestión que se comunica con cada sucursal.

El fallo es tan antiguo como la propia web. Un atacante remoto puede inyectar SQL en el orquestador y, según la descripción de CISA, acceder a funcionalidades internas privilegiadas y afectar al host de VCO. Una explotación exitosa compromete la confidencialidad, la integridad y la disponibilidad del orquestador y de los datos que gestiona. No hay una cadena de explotación exótica ni magia de clic cero: es una inyección SQL, el tipo de error que llevamos años erradicando desde antes de que algunos de tus analistas nacieran.

La cronología tal como la conocemos

Escribo cronologías por oficio, así que seré honesto con esta: tiene más huecos que entradas. Esto es lo que consta en el registro.

1. Fecha desconocida — Día 0. Los atacantes empiezan a explotar la inyección SQL en las implementaciones on-premises de VeloCloud Orchestrator. No hay en el registro público cuándo comenzó, quién está detrás ni contra quién se usó por primera vez. El listado de CISA confirma que hubo explotación, pero no la fecha.
2. 23 de octubre — CISA añade CVE-2026-114625 al catálogo KEV. Según sus propios criterios, la inclusión se basa en evidencias de explotación activa. Esas evidencias existen, pero no se han compartido públicamente.
3. 26 de octubre — Plazo federal de corrección. Con arreglo a la Directiva Operativa Vinculante 26-04, las agencias civiles federales deben corregir las vulnerabilidades del catálogo KEV de esta clase dentro del calendario acortado. Eso deja un fin de semana a la mayoría de los equipos de parcheado.

Todo lo demás —el descubrimiento inicial, el número de víctimas, el tiempo de permanencia antes de la detección— es por ahora una página en blanco. Cuando una entrada del KEV aparece con tan poco contexto, suele significar una de dos cosas: que la evidencia procede de una fuente que no puede revelarse, o que la información todavía se está reuniendo. En cualquier caso, los defensores no deberían esperar a la historia completa. El propio listado del KEV es la parte accionable de la noticia.

Lo que una inyección SQL permite en un orquestador

Quita los nombres de los productos y observa la posición. VeloCloud Orchestrator es el plano de gestión de una red SD-WAN. Mantiene la configuración, las políticas y la visibilidad de los dispositivos de borde bajo su control. La descripción de CISA indica que la explotación «puede permitir a un atacante remoto acceder a funcionalidades internas privilegiadas e impactar en el host de VCO», y advierte de que están en juego la confidencialidad, la integridad y la disponibilidad tanto del orquestador como de los datos que gestiona.

Llevado a una cadena de ataque: el acceso inicial es la propia inyección, remota y dirigida al orquestador. El privilegio lo entrega el fallo, que da acceso a funcionalidades internas privilegiadas sin necesidad de robar credenciales. Desde ahí, el atacante se sitúa en el host que define cómo enrutan las sucursales, qué políticas aplican y en qué confían. CISA no indica en su publicación si las intrusiones reales han llegado tan lejos (persistencia en el host, movimiento lateral a través de los dispositivos gestionados, manipulación de configuraciones enviadas a los equipos descendentes). Pero la arquitectura hace posible ese camino, y por eso las vulnerabilidades del plano de gestión acaban una y otra vez en el KEV.

«CISA ha añadido una nueva vulnerabilidad a su Catálogo de Vulnerabilidades Explotadas Conocidas (KEV), basándose en evidencias de explotación activa.» — Alerta de CISA, 23 de octubre.

Ya hemos visto este patrón con infraestructura de borde y de gestión. Cuando los operadores de ransomware Qilin e Inc encadenaron durante meses un bypass de autenticación de PAN-OS, la lección fue la misma: el dispositivo que administra la red es, a efectos prácticos, la red en cuanto un atacante lo controla. Nadie calificó aquella campaña de sofisticada. Fue tediosa, fiable y funcionó. Espera la misma economía de esfuerzo aquí.

La BOD 26-04 y el problema de cazar antes de parchear

El marco de la directiva que establece este plazo importa. CISA describe la BOD 26-04 como una exigencia a las agencias para priorizar la corrección rápida de las vulnerabilidades del KEV en activos expuestos públicamente que «otorgan control total del activo tras la explotación», aplazando el trabajo de menor riesgo. Un fallo que entrega funcionalidades internas privilegiadas del orquestador encaja perfectamente en la descripción de control total, lo que explica la mecha de tres días.

El requisito más interesante es el segundo que señala CISA: la BOD 26-04 «establece expectativas básicas sobre cuándo las agencias deben comprobar si los actores de amenazas comprometieron el sistema antes de aplicar el parche». Es la parte que muchas organizaciones omiten bajo la presión del plazo. Parchear un equipo que fue vulnerado la semana pasada no expulsa a nadie; solo redecora el salón del atacante.

Entonces, ¿qué mostraron los registros? En un host de VCO, una inyección SQL deja huellas: consultas a la base de datos malformadas o anómalas en los registros de la aplicación, consultas inesperadas sobre tablas privilegiadas, eventos de autenticación o de sesión que no cuadran con la actividad de administración y, si el atacante fue más lejos, ruido posterior a la explotación: procesos nuevos, conexiones salientes desde un host que solo debería hablar con su ecosistema de gestión. Si los registros de tu orquestador no se envían fuera del equipo, esta es la semana en que descubres por qué importaba. Un orquestador comprometido es un pésimo lugar para guardar las pruebas de su propio compromiso.

Quién debe actuar y con qué rapidez

El plazo del 26 de octubre solo obliga legalmente a las agencias civiles del Poder Ejecutivo federal. Sin embargo, CISA es explícita al afirmar que «anima a todas las organizaciones a adoptar una gestión de vulnerabilidades basada en riesgos y a priorizar la corrección de las vulnerabilidades del catálogo KEV». En pocas palabras: si ejecutas VeloCloud Orchestrator on-premises, el plazo federal es un elemento útil para forzar la acción, no un permiso para esperar. Los atacantes que explotan este fallo no comprueban si sus objetivos están sujetos a una directiva operativa vinculante.

Fíjate en lo que sigue siendo desconocido, porque condiciona la respuesta. CISA no ha publicado indicadores de compromiso, un informe sobre la campaña de explotación ni una atribución. No se ha nombrado a ningún actor de amenazas, y no voy a inventar uno. Tampoco aparece en la propia alerta de CISA si Arista ha publicado un parche específico o una guía de mitigación: consulta directamente el aviso del proveedor y la referencia de corrección de la entrada del KEV antes de programar el trabajo. Lo que CISA nos ha dicho, y todo lo que necesitaba decir, es que la explotación es real y que el plazo es corto.

La lección que merece conservarse

Una inyección SQL en 2026 no es un ataque sofisticado. Es un fallo en el tratamiento de las entradas de un producto que debería haberlo evitado, explotado por personas que calcularon con acierto que los planos de gestión son frágiles, confiables y accesibles. El fallo defensivo es arquitectónico: seguimos entregando a un único equipo las llaves de todas las sucursales y luego nos sorprendemos cuando ese equipo se convierte en el objetivo.

Parchea antes del 26 de octubre, lo indique o no una directiva. Pero antes de parchear, extrae los registros, revísalos hacia atrás y responde a la única pregunta que importa tras un listado del KEV: ¿ya estaban aquí? Si no puedes responderla porque la telemetría se quedó en el propio host, arregla también eso; sale más barato que la alternativa.