La CISA añade al catálogo KEV el fallo CVE-2026-114625, una vulnerabilidad crítica de Arista VeloCloud Orchestrator con CVSS 9.4 y explotación activa.
Le pongo en contexto antes de que esto se convierta en otro titular de urgencia. VeloCloud Orchestrator (VCO) es el plano de control del SD-WAN que VMware vendió y que hoy gestiona Arista Networks. Desde ahí se configura, se monitoriza y se gobierna la malla que conecta sedes, centros de datos, servicios en nube y oficinas remotas. Quien controla el orquestador no necesita romper el cifrado de los túneles: reparte las reglas.
El fallo es una inyección SQL en las instalaciones on-premises. Cualquier usuario autenticado, incluso con el rol más bajo —Enterprise Read Only—, puede escalar a privilegios de operador y suplantar a una cuenta local de ‘superuser operator’. Eso abre funciones internas que, por diseño, no deberían ser accesibles en remoto. El aviso de la compañía lo dice sin ambigüedad: el compromiso afecta a confidencialidad, integridad y disponibilidad del orquestador y de los datos que gestiona.
Qué significa que la CISA marque este fallo como explotado en producción
La inclusión en el catálogo KEV de la CISA no es una etiqueta de riesgo teórico. KEV significa que existe evidencia de explotación real. Bajo la directiva operativa BOD 22-01, las agencias federales deben mitigar el fallo antes del 26 de octubre de 2026 —pasado mañana—, y la agencia recomienda lo mismo al sector privado. Dos días para parchear un orquestador que en muchas instalaciones se toca una vez al año y con ventana de mantenimiento cerrada.
Las versiones alojadas del VCO, incluidas las Dedicated, ya están parcheadas. El problema está en el on-prem, donde el parche lo aplica el cliente y donde la ventana de exposición se mide en semanas, no en horas. Ahí es donde el asunto deja de ser administración de sistemas y pasa a ser otra cosa.
El VCO no está expuesto por una mala configuración: lo está de fábrica.
Un orquestador comprometido no tumba la red; la reordena a conveniencia del intruso, y eso es bastante peor que una caída.
La propia Arista reconoce que ningún cambio de configuración evita la exposición. Es decir: no hay workaround que valga, ni regla de cortafuegos salvadora, ni consola aislada que resuelva el problema. La mitigación es el parche o el aislamiento total del interfaz web. Si usted gestiona VCO en premisas, ya va tarde.
Anatomía de la explotación: rol mínimo, inyección y suplantación de superusuario
Técnicamente, esto se mapea en dos técnicas conocidas de MITRE ATT&CK: explotación de una aplicación expuesta a internet (T1190) y uso de cuentas válidas (T1078). La combinación es la peor posible para la contrainteligencia corporativa, porque el atacante no necesita credenciales de administrador: le basta un usuario de lectura que consiga por cualquier vía —un proveedor, un becario, un contrato temporal— y una inyección SQL bien construida.
Los indicadores que la agencia pide revisar son los habituales en este tipo de intrusión: peticiones anómalas en los registros web, texto codificado en parámetros, intentos de alcanzar servicios internos y picos de tráfico fuera de patrón. Añade dos direcciones IP, 74.82.197.86 y 38.54.50.151. En mi experiencia, ese tipo de rangos suele corresponder a alojamiento comercial alquilado, no a infraestructura estatal identificada; la CISA no atribuye autoría y, con lo publicado, atribuirla sería temerario.
Si hay sospecha, la instrucción es preservar registros web, de aplicación, de sistema y de base de datos, además de las marcas de tiempo de los ficheros relevantes, antes de iniciar la recuperación. Parece un detalle menor. No lo es: he visto operaciones cerradas en falso porque el equipo de guardia reinició la máquina antes de copiar los registros.
El historial: de SolarWinds a los orquestadores de red
He seguido durante años la migración del objetivo desde el puesto de trabajo hacia el plano de gestión. SolarWinds en 2020 —APT29, atribuido al SVR— convirtió el software de monitorización en el caballo de Troya perfecto. Después llegaron Ivanti Connect Secure, Citrix Bleed, MOVEit y los planos de control de SD-WAN. Volt Typhoon, el grupo chino que la propia CISA documentó infiltrado en infraestructura crítica estadounidense, trabaja exactamente en en esa capa: la que nadie mira porque ‘es interna’.
La lógica del adversario es sencilla, y lo sostengo desde hace tiempo: el próximo 11S empezará con un clic, y el clic se hará sobre el sistema que gestiona todos los demás. Un orquestador SD-WAN es exactamente eso, el sistema que gobierna el resto, con una interfaz web y un catálogo de funciones internas que, según el aviso, no deberían ser accesibles en remoto. Alguien lo diseñó así y llevaba años funcionando sin que nadie preguntara.
Dossier Moncloa: Ojos en la Sombra
Vector de amenaza: ciberataque por explotación de vulnerabilidad conocida —inyección SQL con escalada de privilegios— sobre un plano de control de red. La explotación está confirmada por la CISA; la autoría, no. Cualquier nombre propio que se ponga aquí sin análisis forense público es especulación, y en este oficio la especulación se paga caro.
Agencias implicadas: la CISA actúa como autoridad que ordena a las agencias federales y advierte al sector privado; Arista, como custodio del producto heredado de VMware, publica aviso y parche; el CCN-CERT español queda en la categoría de observador. No hay directiva equivalente a la BOD 22-01 en España, así que el parcheo depende de la voluntad del cliente y de la presión del regulador sectorial. Los operadores de telecomunicaciones que revenden SD-WAN gestionado son la pieza más delicada: un solo VCO comprometido puede reescribir rutas de cientos de clientes a la vez.
Nivel de clasificación estimado: Reservado. No hay material clasificado en juego, pero la topología de una malla SD-WAN —direcciones, túneles, políticas, credenciales de los equipos en cliente— tiene valor operativo inmediato para quien prepare un acceso persistente. A juzgar por el tipo de datos que maneja el orquestador, lo estimo en el entorno de Reservado y Uso Restringido en cualquier organización seria.
Riesgo del análisis, y lo digo sin adornos: el catálogo KEV se llena a veces con explotaciones oportunistas de bajo nivel, no con campañas dirigidas. Puede que esto sea un escáner automatizado probando el rol de solo lectura. También puede ser el reconocimiento previo de algo mucho mayor. La diferencia solo se ve en los registros, y los registros se borran.
Reconozco que la parte incómoda es el calendario: 26 de octubre de 2026, dos días. Después de esa fecha, lo quebrantado no será la norma, sino la excusa. Y mientras las agencias federales corren, el resto del mundo —los clientes europeos de VCO on-prem, entre ellos no pocas empresas españolas— seguirá esperando la ventana de mantenimiento de noviembre. El siguiente hito verificable es la actualización del propio catálogo KEV y la alerta que, si procede, publique el portal del CCN-CERT.
