Ciberdelincuentes se infiltraron en una empresa ucraniana; tras dos meses, comenzaron a destruir sus datos.

Una cuenta de usuario estándar para ver la configuración de la red resultó suficiente para obtener privilegios de superusuario. Arista el 22 de octubre confirmó la explotación de una vulnerabilidad crítica en VeloCloud Orchestrator (VCO). Los atacantes ya están atacando los servidores de gestión de los que dependen las redes corporativas y las sucursales conectadas.

La falla recibió el identificador CVE-2026-114625 y una puntuación de 9,9 en CVSS 3.1, y de 9,4 en CVSS 4.0. El motivo fue una inyección SQL, es decir la posibilidad de alterar una consulta a la base de datos mediante valores de entrada mal procesados. Arista clasifica el problema como CWE-89. En un ataque exitoso, un usuario con privilegios limitados puede elevar sus privilegios.

Para explotar se necesita acceso a la interfaz web del VCO y una sesión autorizada activa. Basta con el rol Enterprise Read Only, el nivel de acceso estándar más bajo del inquilino, diseñado solo para la lectura de datos. La vulnerabilidad permite hacerse pasar por un operador local con derechos de superusuario y acceder a funciones internas que no deberían estar disponibles desde el exterior.

VeloCloud Orchestrator controla SD-WAN, una red corporativa que conecta sucursales y sitios remotos mediante conexiones gestionadas por software. Por eso la captura del servidor de gestión es más peligrosa que el acceso a un único dispositivo. Arista advierte sobre la posible violación de la confidencialidad, la integridad y la disponibilidad del propio orquestador y de los datos que administra.

Están en riesgo las instalaciones locales de VCO de la rama 5.2.x hasta la versión 5.2.3.18, de la rama 6.1.x hasta 6.1.3.10 y de la rama 6.4.x hasta 6.4.2.12. En las compilaciones mencionadas y en versiones posteriores de las respectivas ramas la falla ya está corregida. Las variantes en la nube Hosted y Dedicated también fueron vulnerables; sin embargo, Arista solucionó el problema en su lado. El boletín no considera afectados a VeloCloud Edge y Gateway.

El fabricante nombró las direcciones 74.82.197.86 y 38.54.50.151, desde las cuales ya se realizaron ataques. En los registros de acceso web se recomienda buscar rutas de solicitud inusuales, caracteres codificados, llamadas a servicios locales y picos repentinos de actividad. En caso de sospecha de intrusión, Arista aconseja ante todo conservar los registros del servidor web, de la aplicación, del sistema y de la base de datos, así como las marcas de tiempo de los archivos.

Para VeloCloud, el ataque actual fue la continuación de una serie preocupante. En septiembre los atacantes ya atacaron VCO a través de otra brecha crítica. Entonces, con un determinado esquema de autenticación, los atacantes no necesitaban en absoluto una cuenta del portal. La nueva inyección SQL difiere en su mecanismo y en la necesidad de iniciar sesión al menos con privilegios mínimos.

Arista recomienda actualizar lo antes posible las instalaciones locales a las versiones corregidas. Mientras no se aplique la actualización, la compañía aconseja restringir el acceso a la interfaz web a redes administrativas de confianza, monitorizar las conexiones salientes sospechosas y verificar la aparición de web shells y servicios ocultos. El fabricante aún no ha revelado la magnitud de los ataques ya ocurridos.