La vulnerabilidad crítica CVE-2026-16812, con la puntuación máxima CVSS 10.0 en las versiones locales (on-premises) de Arista VeloCloud Orchestrator (VCO), se ha confirmado como explotada activamente. La vulnerabilidad permite que un atacante remoto ejecute comandos arbitrarios del sistema operativo en el host del orquestador, lo que conduce a la plena comprometer la confidencialidad, integridad y disponibilidad de la plataforma de gestión SD-WAN y de todos los dispositivos periféricos conectados a ella. CISA ha incluido la vulnerabilidad en el catálogo KEV, fijando como fecha límite de corrección para las agencias federales el 30 de julio de 2026. Las organizaciones que utilicen VCO on-premises deben actualizar el sistema de inmediato o aplicar medidas para restringir el acceso.
Detalles técnicos de la vulnerabilidad
Según el boletín de seguridad de Arista, CVE-2026-16812 es una vulnerabilidad de tipo OS command injection — inyección de comandos del sistema operativo. Su explotación permite que un atacante remoto obtenga acceso a una funcionalidad interna privilegiada del host VCO. Arista subraya que la funcionalidad comprometida estaba destinada exclusivamente al uso interno y no debería haber sido accesible de forma remota.
La explotación satisfactoria provoca la completa compromisión del orquestador: el atacante obtiene el control del host, de los datos gestionados por VCO y, potencialmente, de todos los dispositivos VeloCloud Edge conectados.
Versiones afectadas
- VCO 5.2.x — versiones anteriores a la 5.2.3.14
- VCO 6.1.x — versiones anteriores a la 6.1.3.4
- VCO 6.4.x — versiones anteriores a la 6.4.2.4
- VCO 7.0.x — versiones anteriores a la 7.0.0.1
Arista señala que las versiones en la nube (hosted) y dedicadas (dedicated) de VCO ya fueron corregidas con antelación. La amenaza afecta exclusivamente a los despliegues locales.
Indicadores de compromiso
Arista ha publicado tres direcciones IP identificadas como origen de los ataques:
- 8.19.75.217
- 206.72.242.124
- 206.72.242.162
La compañía recomienda bloquear de inmediato estas direcciones y revisar los registros en busca de accesos procedentes de ellas.
Alcance de la amenaza y efectos en cascada
El aspecto clave de esta vulnerabilidad es su potencial efecto en cascada. VeloCloud Orchestrator es el elemento central de gestión de la infraestructura SD-WAN: a través de él se lleva a cabo la configuración, supervisión y administración de todos los dispositivos periféricos VeloCloud Edge. Arista advierte explícitamente: «La compromisión de la plataforma VCO puede permitir a los atacantes obtener acceso a los dispositivos VeloCloud Edge». Esto significa que un único punto de compromiso en el orquestador potencialmente abre acceso a toda la infraestructura de red distribuida de la organización.
Arista ha confirmado que la vulnerabilidad fue descubierta por un investigador externo y que se sabe que está siendo explotada activamente; sin embargo, no ha revelado detalles sobre el alcance de los ataques, el número de clientes afectados ni la atribución de la amenaza.
Evaluación del impacto
Las organizaciones que corren mayor riesgo son aquellas que utilizan VeloCloud Orchestrator en modo on-premises para gestionar redes SD-WAN. Esto es típico de grandes empresas, compañías de telecomunicaciones y organizaciones con requisitos reforzados de control de datos, que por razones regulatorias o de arquitectura no emplean la versión en la nube de VCO.
Si no se actúa, las consecuencias incluyen: control total del orquestador por parte del atacante, acceso a las configuraciones y credenciales de todos los dispositivos Edge gestionados, posibilidad de manipular políticas de red y enrutamiento, así como fuga de datos que circulan a través de la infraestructura SD-WAN.
Recomendaciones prácticas
Acciones inmediatas:
- Actualice VCO a las versiones corregidas: 5.2.3.14, 6.1.3.4, 6.4.2.4 o 7.0.0.1, según corresponda.
- Bloquee las direcciones IP 8.19.75.217, 206.72.242.124 y 206.72.242.162 a nivel de firewall.
- Revise los registros de acceso web de VCO, los registros de aplicaciones, los registros del sistema y los registros de la base de datos en busca de accesos desde dichas direcciones.
Si la actualización inmediata no es posible:
- Limite el acceso a la interfaz web de VCO únicamente a redes administrativas de confianza.
- Configure la monitorización de las conexiones entrantes desde las direcciones IP maliciosas conocidas.
- Controle la actividad de red saliente del host VCO en busca de anomalías.
- Realice una auditoría de las acciones recientes de los administradores para detectar cambios no autorizados.
En caso de sospecha de compromiso:
- Guarde todos los registros de VCO y las marcas de tiempo del sistema de archivos antes de iniciar la recuperación.
- Lleve a cabo la rotación de todas las credenciales, incluidas las cuentas de administradores y las claves de acceso a los dispositivos Edge.
- Verifique el estado de todos los dispositivos Edge gestionados.
- Considere restaurar o sustituir las instancias del orquestador a partir de fuentes de confianza.
Amenaza paralela: Fortinet FortiOS SSL-VPN
Paralelamente, CISA ha añadido al catálogo KEV la vulnerabilidad CVE-2025-68686 (CVSS 5.3) en Fortinet FortiOS SSL-VPN. Según el boletín de Fortinet, la vulnerabilidad de tipo CWE-200 (exposición de información sensible) permite que un atacante remoto no autenticado eluda el parche diseñado para eliminar el mecanismo de conservación de enlaces simbólicos observado en varios casos de post-explotación. Para explotarla, el atacante debe haber comprometido previamente el dispositivo mediante otra vulnerabilidad a nivel del sistema de archivos. El parche fue publicado por Fortinet, según se informa, en febrero de 2025. El plazo de corrección para las agencias federales de EE. UU. es el 10 de agosto de 2026.
Las organizaciones que utilicen Arista VeloCloud Orchestrator on-premises deben considerar la actualización como una tarea de la máxima prioridad: un CVSS 10.0 combinado con explotación activa confirmada y el potencial en cascada de comprometer toda la infraestructura SD-WAN no deja margen para demoras. Si la actualización requiere tiempo, aísle de inmediato la interfaz web de VCO del acceso externo y bloquee los IOC publicados.
