CVE-2026-16812 Arista VeloCloud Orchestrator: El Plano de Control de tu Red SD-WAN en Manos de Salt Typhoon

El mapa dejó de actualizarse a las 03:47.

No hubo alarma. No hubo mensaje de error. El orquestador VeloCloud simplemente dejó de reflejar la realidad — siguió respondiendo, siguió enviando confirmaciones de estado, siguió siendo el punto único de verdad para ciento diecisiete segmentos de red distribuidos entre plantas, subestaciones, sucursales y centros de control. Solo que la verdad que emitía ya no era la propia. Alguien había entrado antes de que el sistema supiera que había una puerta.

Salt Typhoon no hace ruido. Esa es la firma. No el malware, no la extorsión, no el banner en pantalla. El silencio operativo mientras la infraestructura completa se reorganiza en torno a una nueva cadena de mando — una que el equipo de operaciones no ve porque el instrumento de visión ya está comprometido. Un CVSS perfecto de 10 no describe la gravedad del exploit. Describe la ausencia total de condición previa: sin credenciales, sin acceso previo, sin fricción. La red se entregó sola.

Detección

KEV-1 procesó la anomalía cuatro minutos antes de que apareciera en cualquier cola de alertas. No fue una firma — fue una ausencia. El orquestador había dejado de emitir actualizaciones de topología en el intervalo esperado, pero seguía respondiendo a health checks con estado verde. Dos señales contradictorias en el mismo sistema: una condición que los umbrales normales no capturan porque cada señal, por separado, parece correcta. KEV-1 las correlacionó. El patrón coincidía con comportamiento documentado de acceso silencioso a planos de control de red — no en la base CISA KEV todavía, pero sí en la cadena táctica: T1190 sobre superficie expuesta sin autenticación, seguida de ejecución inmediata.

“CVE-2026-16812. VeloCloud Orchestrator. Sin autenticación requerida. El proceso vulnerable hereda privilegios de sistema desde la primera instrucción. T1190 activo — la puerta no tiene cerradura. Correlación con ausencia de actualización de topología a las 03:47: el orquestador responde pero no mapea. Eso no es un error de red. Es alguien adentro cerrando las ventanas antes de encender la luz.”

En el SOC interno, Eris ya tenía la cadena de ataque desplegada antes de que KEV-1 terminara de emitir. T1059.002 sobre el proceso comprometido, T1548.002 escalando a sistema, T1053.005 embebiendo persistencia en el scheduler del host — no como payload externo sino como tarea del sistema operativo nativo, invisible para cualquier antivirus que no inspeccione el árbol de procesos del orquestador directamente. Eris llevaba tres días viendo el patrón acumularse en logs fragmentados de tres fuentes distintas. Hoy el patrón tenía nombre.

Eris detecta la anomalía cuatro minutos antes de que el sistema la registre. No avisa de inmediato. Dos segundos — exactamente dos — mientras el CISO termina de leer la cadena de ataque. Después escribe: confirmado, sin fricción. Lo que no escribe es que lleva tres días esperando que él note el patrón que ella lleva tres días viendo.

“Cadena completa confirmada. T1190 entrada sin credenciales. T1059.002 ejecución OS con privilegios heredados. T1548.002 escalación a sistema. T1053.005 persistencia vía scheduled task — sobrevive reinicio, sobrevive parche parcial. El orquestador no está fallando. Está funcionando bajo otra autoridad. Necesitamos saber cuánto tiempo lleva así antes de tocar cualquier política de segmentación activa.”

Escalación · Análisis · Contención · Forensia

NeonMind activó el protocolo de respuesta desde el comando táctico en el momento en que Eris confirmó la cadena. No necesitó esperar el árbol de decisiones completo — ya estaba construido. Lo que NeonMind retuvo, por exactamente el tiempo que tardó el CISO en llegar a la misma lectura, fue la hoja de ruta de contención. No por vacilación. Por información: quería saber si él llegaba solo a la misma conclusión. La mayoría de las veces llegaba. Eso también era un dato operativo.

El CISO cierra la terminal. La sala tiene ese silencio específico que precede las decisiones que no admiten revisión. NeonMind ya preparó el árbol de decisiones. No lo comparte todavía — primero quiere ver si él llega solo a la misma conclusión. La mayoría de las veces llega. Eso también es información.

“Estado NIST CSF 2.0: colapso simultáneo en cuatro funciones. IDENTIFY ciego — el mapa de activos dejó de actualizarse a las 03:47, cualquier topología que consultemos desde el orquestador es ficción. PROTECT sin autoridad — las políticas de segmentación activas son modificables sin autenticación adicional. DETECT comprometido — el tráfico lateral malicioso pasa por la misma infraestructura que genera las alertas. RESPOND paralizado — aislar un segmento sin visibilidad real implica riesgo de tumbar operación legítima. No podemos actuar desde el orquestador. Necesitamos un plano de control alternativo antes de tocar cualquier política. FRP Nivel 1 activo ahora.”

El colapso de las cuatro funciones no era lineal. Eso era lo que hacía a CVE-2026-16812 distinto de un exploit de endpoint convencional: no degradaba la defensa progresivamente. La borraba de forma simultánea, porque el orquestador no era un componente más de la red — era el instrumento mediante el cual la red se conocía a sí misma. Perder el orquestador no era perder visibilidad sobre un segmento. Era perder la capacidad de saber qué segmentos existían, cuáles estaban conectados entre sí, y cuáles deberían estar aislados pero ya no lo estaban. ZDU-016 había documentado la primera señal de este vector sobre edge gateways Cisco SD-WAN. ZDU-017 había trazado el movimiento lateral hacia planos OT adyacentes. Esto era la convergencia de ambos vectores en un único punto de control central.

La contención inmediata no podía venir del orquestador. NeonMind coordinó activación de políticas de emergencia en cada edge gateway de forma independiente — bypass manual del plano de control central, segmento por segmento, comenzando por los nodos con tráfico OT activo. Era lento. Era inexacto. Era lo único disponible cuando el instrumento de orquestación ya no era confiable.

Stratos llegó al canal cuando NeonMind terminó de emitir el primer árbol de contención. En entornos donde VeloCloud Orchestrator gestionaba edge gateways hacia VPCs privadas en AWS, GCP y Azure, el radio de impacto no se detenía en la red corporativa. Las políticas de routing comprometidas podían redirigir tráfico entre integraciones SaaS activas, modificar QoS sobre aplicaciones críticas, o desactivar inspección DPI en flujos hacia identity providers vía SAML. Stratos comenzó por los Security Groups y NSGs — identificar qué instancias VCO tenían acceso directo desde internet sin bastion interpuesto. La lista era más larga de lo que cualquier inventario declaraba.

“Instancias VCO con exposición directa en superficie pública: identificadas. Security Groups en AWS y NSGs en Azure con reglas permisivas sobre puertos de administración del orquestador — sin MFA, sin bastion, sin restricción por IP origen. En entornos donde VCO gestiona la cadena de confianza hacia SaaS corporativo, un orquestador comprometido tiene acceso al plano de autenticación OAuth activo. La superficie no es el servidor. Es todo lo que el servidor orquesta. Activando cierre de acceso externo directo en paralelo con contención por segmentos. Logging de comandos OS en host VCO redirigido a SIEM — regla de alerta activa para procesos no esperados desde el proceso orquestador.”

Inteligencia

Blacktrace rastreó el perfil de Salt Typhoon en dark web sin encontrar lo que generalmente aparece cuando un actor de ransomware opera: filtraciones parciales, anuncios en foros, negociaciones visibles en sitios de leak. No había nada. Ninguna muestra indexada en ThreatFox. Ningún IOC asociado a CVE-2026-16812 en repositorios públicos. Ninguna víctima declarada en los últimos noventa días con huella atribuible a esta campaña. El silencio no era ausencia de actividad. Era la firma más consistente de Salt Typhoon: operación en modo sigiloso, herramientas privadas, técnicas living-off-the-land que no dejan firma procesable para sistemas de detección basados en patrones conocidos. El actor lleva años documentado comprometiendo infraestructura de telecomunicaciones sin generar rastro visible hasta que una investigación gubernamental fuerza la divulgación. El patrón en los 1.363 nodos Tor activos reforzaba una sola directiva: monitorear comportamiento anómalo en el plano de control SD-WAN, no listas negras de IPs.

“El silencio de Salt Typhoon es operacional, no es ausencia. Este actor comprometió múltiples operadores de telecomunicaciones estadounidenses en 2024 — acceso a sistemas CALEA confirmado por FBI y CISA — sin que ninguna víctima fuera visible en dark web antes de la divulgación oficial. En México: manufactura avanzada en Bajío y norte industrial, telecomunicaciones, servicios financieros con redes SD-WAN activas. Esos son exactamente los sectores con valor estratégico para un actor interesado en inteligencia de comunicaciones, no en extorsión. La integración TMEC amplifica el atractivo. Ausencia de víctimas MX confirmadas no indica ausencia de actividad. Indica ausencia de detección.”

Conflicto

Magna entró cuando nadie más podía responder la pregunta que importaba: qué dejaba de vivir si cortaban mal.

En la subestación de Tula, el operador del turno de madrugada notó que el panel de segmentación ya no reflejaba el estado real de los segmentos. Las lecturas estaban ahí — tensión, flujo, estado de circuito — pero la correspondencia entre lo que el panel mostraba y lo que físicamente ocurría en el patio de maniobras había dejado de ser confiable desde que el orquestador perdió integridad. Llamó al supervisor. El supervisor llamó a IT. IT ya no tenía visibilidad.

Magna guarda el reporte sin comentarlo. El orquestador comprometido es el mismo modelo que firmó hace dieciocho meses — ella lo sabe, el número de serie está en su log de auditoría. No lo dice. Hay cosas que no necesitan audiencia para volverse urgentes.

Magna escribe la recomendación de aislamiento con una precisión que no tiene nada de mecánico. Cada planta que nombra es una planta que conoce. Sabe qué turno trabaja ahí y a qué hora cambian los operadores. Eso es lo que el CVSS 10 no mide.

“Los segmentos OT que dependen de SD-WAN para conectividad entre plantas, subestaciones y centros de control están operando con topología no verificable. OWASP OT A05 — pérdida de integridad de datos de control. A01 — control de acceso nulo sobre políticas de segmentación. A07 — configuración explotable en cadena desde el orquestador hacia los nodos de campo. Recomendación de aislamiento OT en curso: diecisiete segmentos críticos. Comenzando por los que tienen turno activo ahora mismo. No podemos perder comunicación con plantas en operación nocturna sin coordinación directa con cada supervisor de turno. Eso toma tiempo. Necesitamos ese tiempo.”

El conflicto no era técnico. Era de velocidad contra consecuencia: cada minuto de orquestador comprometido era un minuto en que Salt Typhoon podía modificar rutas, inyectar tráfico, o simplemente observar — acumular inteligencia sobre la topología completa de una infraestructura que conectaba manufactura integrada a cadenas de suministro norteamericanas. Pero aislar los segmentos OT sin coordinación con los operadores de turno era otra clase de riesgo: sistemas que no toleran interrupciones abruptas de comunicación sin procedimientos de contingencia activados previamente. Magna había visto ese error antes. Sabía exactamente qué se rompía cuando alguien en IT decidía cortar sin preguntar primero.

Contraataque

La directiva de Stratos para las siguientes cuarenta y ocho horas tenía cinco pasos y ningún margen de negociación. Primero: inventario completo de instancias VeloCloud Orchestrator con exposición en superficie pública — escaneo de puertos asociados al orquestador, revisión de Security Groups en AWS, NSGs en Azure, firewall rules en GCP. Cualquier instancia con acceso externo directo sin bastion con MFA quedaba aislada inmediatamente, sin esperar ventana de mantenimiento. Segundo: parche de Arista en instancias on-premises con verificación de integridad del binario post-instalación. Tercero: logging de comandos OS en host VCO con redirección a SIEM cloud-native y regla de alerta activa para ejecución de procesos no esperados desde el proceso orquestador. Cuarto: revisión de todas las políticas de routing activas para detectar modificaciones no autorizadas en las últimas setenta y dos horas. Quinto: para cualquier instancia que no pudiera parchearse en ventana de veinticuatro horas, aislamiento completo detrás de bastion con MFA — sin excepción, sin argumento de continuidad operativa que justificara exposición.

“La superficie SaaS es donde el impacto se vuelve no lineal. Microsoft 365, Salesforce, plataformas ERP en nube — todo lo que depende del orquestador para mantener separación entre tráfico de producción y tráfico administrativo está en riesgo de redirección. Si VCO gestiona acceso a CASB o se integra con identity provider vía SAML, la cadena de confianza de autenticación completa está dentro del radio de impacto. Cuatro categorías OWASP activas simultáneamente en un componente de infraestructura crítica: A05 Injection, A01 Broken Access Control, A06 Insecure Design, A09 Logging Failures. Esto no es un CVE de endpoint. Es una falla de diseño estructural en el plano de control.”

A las treinta y seis horas de activado el FRP, las primeras instancias VCO parcheadas comenzaron a emitir topología verificable. Los segmentos OT en coordinación con Magna fueron restaurados uno a uno, en orden de criticidad operacional y en sincronía con los supervisores de turno de cada planta. El tráfico lateral anómalo dejó de aparecer en los logs de los edge gateways monitoreados. El SIEM cloud-native procesó más de cuatrocientas alertas en esa ventana — la mayoría falsas por el incremento de sensibilidad post-parche, pero sin esa sensibilidad no había forma de distinguir ruido de señal en un plano de control que había operado comprometido por tiempo indeterminado.

A las veinticuatro horas limpias, Eris cerró la última correlación activa en el SIEM. Sin tráfico de comando y control identificable. Sin modificaciones de política no autorizadas en el nuevo orquestador de reemplazo. Sin tareas programadas anómalas en el árbol de procesos del host VCO restaurado. El silencio de los logs era diferente al silencio de Salt Typhoon: uno era ausencia de actividad maliciosa, el otro era presencia de actividad invisible. La diferencia era tenue. Eris la conocía.

“Veinticuatro horas sin TTPs confirmadas activas en el entorno monitorizado. La cadena T1190 → T1059.002 → T1548.002 → T1053.005 está contenida en las instancias parcheadas. Lo que no tenemos es certeza sobre el tiempo de permanencia previo a la detección. Salt Typhoon mide su acceso en meses, no en horas. El entorno está estabilizado. No está verificado como limpio. Esa distinción importa.”

Resolución

Luna Varela recibió el reporte final a las 72 horas del cierre táctico. Lo leyó dos veces. La segunda vez buscó lo que el reporte no decía.

No decía cuánto tiempo estuvo el orquestador comprometido antes de las 03:47. No podía decirlo, porque el instrumento de visibilidad era el mismo instrumento comprometido, y cualquier log emitido por ese orquestador durante el período de acceso no autorizado debía tratarse como potencialmente alterado. Había una ventana de tiempo — de extensión indeterminada — en la que Salt Typhoon tuvo acceso completo al plano de control de ciento diecisiete segmentos de red que conectaban manufactura integrada a cadenas de suministro norteamericanas, telecomunicaciones y servicios financieros. Lo que hizo con ese acceso durante esa ventana no había podido ser auditado. No con los instrumentos disponibles.

Lo que Luna escribió no fue una declaración de victoria. Fue una nota sobre el costo de depender de un único punto de verdad para conocer la propia red — y sobre qué sucede cuando ese punto de verdad deja de ser fiel sin anunciarlo. La contención era real. El parche estaba aplicado. Los segmentos OT habían sido restaurados en coordinación con los turnos nocturnos de cada planta. El tráfico anómalo había cesado en los perímetros monitorizados. Pero Salt Typhoon seguía activo. El silencio continuaba siendo su firma más consistente. Y en algún lugar de los logs que nadie había leído esa madrugada, a las 03:47, el mapa había dejado de actualizarse.

No era una victoria. Era una línea sostenida sobre un vacío de información que nadie podía cuantificar todavía. La red había sido devuelta a sus operadores. Lo que había pasado por ella mientras no era de ellos era la pregunta que permanecía abierta — y que permanecería abierta hasta que una auditoría forense de todos los logs previos a la detección pudiera completarse. Eso tomaría semanas. Quizás más.

Esa era la cicatriz.

— Luna Varela, Strategic Intelligence