Arista ha lanzado un parche para una vulnerabilidad de inyección de comandos de máxima gravedad (CVE-2026-16812) en su plataforma VeloCloud Orchestrator (VCO), que está siendo explotada activamente en ataques. Esta falla permite a atacantes remotos ejecutar comandos con privilegios sin necesidad de autenticación, poniendo en riesgo la confidencialidad, integridad y disponibilidad de la plataforma y los datos que gestiona.
Por qué importa: VeloCloud Orchestrator es una herramienta clave para administrar despliegues SD-WAN, y esta vulnerabilidad expone a las organizaciones a compromisos graves sin requerir credenciales.
Lo esencial
- La vulnerabilidad CVE-2026-16812 es una inyección de comandos OS no autenticada con puntuación de severidad 10.0.
- Solo se requiere acceso a la interfaz web de VCO para explotar la falla, sin necesidad de credenciales.
- Las versiones afectadas son las on-premises anteriores a 5.2.3.14, 6.1.3.4, 6.4.2.4 y 7.0.0.1; las versiones alojadas y dedicadas ya fueron parcheadas.
Detalles técnicos de la vulnerabilidad
La falla permite a atacantes remotos ejecutar comandos del sistema operativo con privilegios elevados a través de la interfaz web de VCO. Esta funcionalidad estaba destinada solo para uso interno y no debería ser accesible remotamente. La exposición por defecto de la plataforma sin opción de configuración para restringirla facilita la explotación.
Arista no ha divulgado detalles específicos sobre el inicio de los ataques ni los actores involucrados, pero confirmó que la vulnerabilidad fue detectada externamente y está siendo explotada activamente.
Versiones afectadas y parches disponibles
Las versiones on-premises afectadas incluyen:
- VCO 5.2.x anteriores a 5.2.3.14
- VCO 6.1.x anteriores a 6.1.3.4
- VCO 6.4.x anteriores a 6.4.2.4
- VCO 7.0.x anteriores a 7.0.0.1
Las versiones alojadas y dedicadas de VCO, así como los productos VeloCloud Gateway y Edge, no presentan esta vulnerabilidad. Arista recomienda actualizar a las versiones parcheadas para mitigar el riesgo.