CISA suma a su catálogo KEV una inyección SQL en Arista VeloCloud Orchestrator

CVE-2026-114625 afecta la consola centralizada que administra redes SD-WAN de VeloCloud; CISA confirma explotación activa pero aún no hay un segundo reporte independiente que la corrobore.

Qué pasó

CISA incorporó CVE-2026-114625, descrita como una vulnerabilidad de inyección SQL en Arista VeloCloud Orchestrator, a su catálogo *Known Exploited Vulnerabilities* (KEV) el 23 de octubre de 2026, citando evidencia de explotación activa [1][2].

El aviso de CISA es deliberadamente escueto: no entrega vector de acceso, actor involucrado, IOCs, ni versiones afectadas específicas más allá del nombre del producto. Tampoco hemos encontrado al momento de escribir esto un aviso de seguridad propio de Arista ni un segundo CERT o medio que reporte el hallazgo de forma independiente — la corroboración cruzada con nuestras fuentes (ANCI, los once feeds monitoreados y CSA Labs) arroja una sola fuente, primaria (CISA). El propio criterio de corroboración indica que se necesitan dos fuentes primarias o tres fuentes cualesquiera para hablar de patrón confirmado; con una sola, lo correcto es registrar el hecho como lo que es — un aviso de catálogo — y no como un patrón de explotación masiva.

Lo que sí es un dato duro: la inclusión en KEV activa la obligación de remediación acelerada para agencias del ejecutivo civil federal de EE.UU. bajo BOD 26-04, que prioriza vulnerabilidades que otorgan control total del activo tras explotación en activos expuestos a internet [3]. No citamos plazos específicos de remediación porque la fuente no los detalla para este CVE en particular.

Por qué importa acá

VeloCloud Orchestrator no es un endpoint: es la pieza que administra el plano de control de redes SD-WAN completas, típicamente operada por telcos, proveedores de servicios gestionados (MSP) o equipos de redes corporativos que atienden múltiples sucursales o clientes desde una sola consola.

Evaluación, confianza media: no tenemos evidencia pública de despliegues de VeloCloud Orchestrator en organizaciones chilenas — ni ANCI ni los feeds monitoreados mencionan el producto en Chile en los últimos 30 días. Lo que sí es razonable inferir, porque es estructural al modelo de negocio del producto, es que si algún ISP o MSP que opera en el país ofrece SD-WAN gestionado sobre tecnología VeloCloud, un Orchestrator comprometido no afecta a un solo cliente: afecta potencialmente a todas las redes que ese Orchestrator administra. La alternativa que no podemos descartar es que ningún operador local use este producto, en cuyo caso el impacto directo en Chile es nulo.

Por eso esta pieza no fuerza un ángulo chileno: el hecho estructural —una consola de gestión centralizada con alcance multi-tenant bajo explotación activa— es lo que justifica publicarla como global, y la acción concreta para un lector en Chile es la misma independientemente de dónde esté el activo: verificar si su organización o su proveedor de red gestionada usa este producto.

Anatomía del ataque

Mapeo a marcos públicos, para que puedas cruzarlo con tu propia matriz de cobertura.

• T1190 — La inyección SQL contra la interfaz de administración del Orchestrator, si está expuesta a internet, es la vía de entrada típica para este tipo de vulnerabilidad.
• T1210 — Evaluación de confianza baja: un Orchestrator comprometido podría usarse como pivote para alcanzar o reconfigurar los dispositivos edge SD-WAN que administra. CISA no confirma esto para este caso específico; es una posibilidad estructural del producto, no un hecho reportado.

title: Posible inyección SQL contra Arista VeloCloud Orchestrator
id: 7e4a1b2c-3d5f-4e8a-9b1c-6f2d8a4e9c17
status: experimental
description: Detecta patrones clásicos de inyección SQL en solicitudes HTTP capturadas por el WAF/proxy frente a la consola de administración de Arista VeloCloud Orchestrator, asociado a CVE-2026-114625 (explotación activa reportada por CISA KEV, sin IOCs públicos). Debe acotarse en producción al host o IP de destino del Orchestrator real del entorno para evitar ruido.
references:
  - https://www.cisa.gov/news-events/alerts/2026/10/23/cisa-adds-one-known-exploited-vulnerability-catalog
  - https://www.cve.org/CVERecord?id=CVE-2026-114625
author: Vantis - Equipo de Análisis de Amenazas
date: 2026/10/24
tags:
  - attack.initial-access
  - attack.t1190
logsource:
  category: webserver
detection:
  selection:
    cs-uri-query|contains:
      - "UNION SELECT"
      - "' OR '1'='1"
      - "' OR 1=1"
      - "SLEEP("
      - "WAITFOR DELAY"
      - "information_schema"
  condition: selection
falsepositives:
  - Escaneos de seguridad autorizados contra el mismo host
  - Pruebas de QA que reutilicen cadenas similares
level: high

index=proxy OR index=waf
| search uri_query="*UNION SELECT*" OR uri_query="*' OR '1'='1*" OR uri_query="*' OR 1=1*" OR uri_query="*SLEEP(*" OR uri_query="*WAITFOR DELAY*" OR uri_query="*information_schema*"
| table _time, src_ip, dest_host, uri_query, http_status
| sort -_time

CommonSecurityLog
| where DeviceVendor in ("Palo Alto Networks", "Fortinet", "Imperva", "F5")
| where RequestURL has_any ("UNION SELECT", "' OR '1'='1", "' OR 1=1", "SLEEP(", "WAITFOR DELAY", "information_schema")
| project TimeGenerated, SourceIP, DestinationIP, RequestURL, DeviceVendor
| order by TimeGenerated desc

Fuentes

• CISACISA Adds One Known Exploited Vulnerability to Catalog · 2026-10-23
• CVE.orgCVE-2026-114625 — Arista VeloCloud Orchestrator SQL Injection Vulnerability · 2026-10-23
• CISABinding Operational Directive (BOD) 26-04: Prioritizing Security Updates Based on Risk · 2026-10-23

Relacionado