El INCIBE-CERT ha alertado de una vulnerabilidad crítica de inyección SQL en VeloCloud Orchestrator de Arista, con explotación activa confirmada por el fabricante.
EN 30 SEGUNDOS
- ¿Qué ha ocurrido? El INCIBE-CERT publica un aviso de inyección SQL crítica en VeloCloud Orchestrator de Arista, registrada como CVE-2026-114625, que permite suplantar a un operador de máximo privilegio.
- ¿Dónde y cuándo? Aviso emitido el lunes 26 de octubre a las 11:22 horas; afecta a despliegues on-premises, no a las instancias alojadas.
- ¿Qué resultado? Explotación activa confirmada por el fabricante y parches disponibles en 5.2.3.18, 6.1.3.10 y 6.4.2.12.
El aviso lleva el identificador INCIBE-2026-786 y sitúa el fallo en el escalón más alto de gravedad: severidad crítica, valor 5 sobre 5. El INCIBE-CERT (el equipo de respuesta a incidentes de seguridad del Instituto Nacional de Ciberseguridad) no habla de riesgo teórico. Arista ha confirmado la explotación activa de la vulnerabilidad, lo que la convierte en un vector en uso y no en una hipótesis de laboratorio.
La mecánica del ataque es precisa. El CVE-2026-114625 permite a un usuario autenticado obtener privilegios de operador y suplantar a un superuser operator, la cuenta de máxima autoridad del orquestador. No hace falta ser administrador del sistema: basta con una sesión válida con el rol Enterprise Read Only, el perfil de solo lectura que muchas organizaciones reparten entre técnicos internos y proveedores externos. Desde ahí, el atacante alcanza funciones internas que el diseño del producto reserva a personal restringido.
Las versiones afectadas: de la rama 5.2.x a la 6.4.x
El alcance está delimitado con precisión en el aviso. La vulnerabilidad afecta a VeloCloud Orchestrator On-Prem en tres ramas: la 5.2.x, en versiones anteriores a la 5.2.3.18; la 6.1.x, anteriores a la 6.1.3.10; y la 6.4.x, anteriores a la 6.4.2.12. La lista de recursos afectados no incluye otras ramas porque, según el fabricante, las versiones fuera de soporte no han sido evaluadas.
Esa precisión importa. Quien mantenga despliegues antiguos fuera de ciclo no tiene diagnóstico ni corrección: queda en una zona gris que solo se resuelve migrando. Las instancias alojadas, incluidas las dedicadas, ya están corregidas por Arista. El problema se concentra, por tanto, en las organizaciones que gestionan su propio orquestador en infraestructura propia, un escenario habitual en operadores de red, empresas con despliegues distribuidos y entornos que exigen control interno del dato.
El fabricante ha confirmado la explotación activa del fallo, un nivel de aviso que el INCIBE-CERT reserva para vulnerabilidades con impacto directo sobre infraestructuras ya en producción.
Parches, mitigación y vigilancia de registros
La solución es la actualización a 5.2.3.18, 6.1.3.10 o 6.4.2.12, según la rama, o a cualquier versión posterior. Mientras el parche se despliega —y en entornos grandes ese despliegue nunca es inmediato—, el aviso recomienda dos medidas de contención: restringir la administración del orquestador a redes de confianza y revisar los registros de actividad en busca de sesiones con comportamientos anómalos. Ambas medidas reducen la ventana de exposición sin sustituir la actualización.
El aviso remite a tres referencias técnicas: el Security Advisory 0199 del propio fabricante, el detalle público del CVE y el catálogo de vulnerabilidades explotadas conocidas (KEV), la lista que numerosos equipos de seguridad emplean como orden de prioridad a la hora de parchear. La inclusión en ese catálogo explica la urgencia del aviso: el fallo ya se está usando contra sistemas reales.
El panorama de la ciberseguridad
La explotación de vulnerabilidades conocidas sigue siendo la vía de entrada más rentable para el cibercrimen. No exige ingeniería social ni creatividad: basta con localizar un sistema sin actualizar y ejecutar una herramienta ya publicada. Los balances anuales del INCIBE sitúan por encima de los 100.000 incidentes gestionados cada año, y una parte creciente de ellos arranca en software sin el último parche aplicado. A ello se suma el trabajo del CCN-CERT, el equipo de respuesta del Centro Criptológico Nacional dependiente del CNI, que protege las infraestructuras críticas y las administraciones públicas con el mismo criterio: priorizar el parcheo de lo que ya se explota.
En España, la respuesta a este tipo de incidentes combina la alerta temprana del INCIBE-CERT con la investigación de las Fuerzas y Cuerpos de Seguridad del Estado. El Grupo de Delitos Telemáticos de la Guardia Civil, la Brigada de Investigación Tecnológica de la Policía Nacional y la UDEF (la unidad especializada en delincuencia económica y blanqueo) cubren la cadena completa: desde la detección del acceso no autorizado hasta la identificación de los autores y el rastro del dinero. Los datos del Ministerio del Interior sitúan la cibercriminalidad como una de las tipologías de mayor crecimiento, y esa presión explica la especialización creciente de estas unidades.
La recomendación operativa es directa: identificar los orquestadores expuestos, comprobar la rama y la versión exacta, actualizar y, hasta entonces, cerrar el acceso administrativo. El aviso del INCIBE-CERT permanece abierto y se actualizará si aparecen nuevas ramas afectadas o indicios de explotación a mayor escala. La coordinación entre el CCN-CERT, el organismo de ciberseguridad industrial y los cuerpos policiales permite que la información llegue antes al administrador que al atacante, y ese margen es la diferencia entre un incidente contenido y una brecha con datos comprometidos.
