El parche Arista explota activamente el día cero de VeloCloud Orchestrator

Arista Networks ha lanzado parches de seguridad para una falla de día cero explotada activamente que afecta las implementaciones locales de VeloCloud Orchestrator (VCO).

VCO es una plataforma de administración centralizada basada en la nube que ayuda a los administradores a configurar, monitorear y administrar las SD-WAN (redes de área amplia definidas por software) de VeloCloud y los dispositivos de borde asociados.

Registrada como CVE-2026-93952, esta falla de gravedad máxima resulta de una debilidad de validación de entrada maliciosa y afecta las implementaciones de VCO donde la autenticación basada en certificados se origina desde VeloCloud Edge hasta VeloCloud Orchestrator (VCO).

Los actores de amenazas remotas pueden aprovechar la vulnerabilidad para acceder a la funcionalidad privilegiada del host VCO interno en ataques de baja complejidad que no requieren privilegios en el sistema objetivo ni interacción del usuario.

“Este problema ha sido descubierto externamente y se sabe que está siendo explotado activamente”, advirtió la compañía en un aviso el martes. “Se requiere acceso a la parte pública del certificado de autenticación VeloCloud Edge. Un ataque exitoso requiere acceso de red a la interfaz web de VCO. No se requieren credenciales de inquilino u operador de VCO para esta exposición”.

Arista dice que ya ha parcheado las implementaciones alojadas que ejecutan VCO 5.2.3.16 o posterior y VCO 6.4.2.8 o posterior y que también lanzará parches de seguridad para instancias de VCO que ejecutan 6.1.3.7 y versiones anteriores y 7.0.0.2 y versiones anteriores.

La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. también agregó CVE-2026-93952 a su catálogo de vulnerabilidades explotadas conocidas el martes y ordenó a las agencias federales de aplicación de la ley civil de EE. UU. que protegieran sus redes antes del viernes 25 de septiembre.

Indicador de compromiso

Mientras se implementan los parches de seguridad, los administradores deben restringir el acceso a la interfaz web de VCO en las redes administrativas, revisar la actividad reciente del administrador en busca de cambios inusuales y monitorear conexiones desde direcciones IP desconocidas.

Los administradores deben revisar los registros de acceso web de VCO en busca de actividad sospechosa, como solicitudes con caracteres codificados, componentes de ruta URL inusuales, referencias a servicios locales o internos o altas tasas de solicitudes.

Arista también aconsejó al equipo de seguridad que bloqueara la 142[.]93.149.77 y 104[.]248.126.159 direcciones IP y revise los registros de nginx para el encabezado HTTP x-vc-opt, y esa actividad HTTP o HTTPS inesperada del host VCO también puede justificar una revisión adicional.

“Si se sospecha un compromiso, los operadores deben preservar los registros de acceso web de VCO, los registros de aplicaciones backend, los registros del sistema, los registros de bases de datos y las marcas de tiempo relevantes en el sistema de archivos antes de la reparación cuando sea posible”, agregó, y recomendó a los clientes que se comuniquen con el Centro de Asistencia Técnica (TAC) de Arista Networks si necesitan más ayuda.

Desde principios de año, Arista ha reparado otras dos fallas de día cero (CVE-2026-7473 en mayo y CVE-2026-16812 en julio) que fueron explotadas activamente en ataques y afectaron las implementaciones del sistema operativo extensible (EOS) y VeloCloud Orchestrator local, respectivamente.

Arista Networks es una empresa Fortune 500 y una de las mayores corporaciones estadounidenses por ingresos, con más de 10.000 clientes en todo el mundo.