CISA añade al KEV fallos explotados en Collabora Online y Arista VeloCloud

Dos vulnerabilidades críticas figuran ya oficialmente como explotadas activamente: una en el servidor de documentos del que dependen muchas instalaciones de Nextcloud y otra en Arista VeloCloud Orchestrator. CISA ha incorporado ambas a su catálogo Known Exploited Vulnerabilities (KEV). Si cualquiera de los dos productos funciona en su entorno, trate la actualización como una urgencia.

Qué ha pasado

CVE-2026-110447 (CVSS 9.2): Collabora Online Built-in CODE Server. Es una vulnerabilidad de inyección de comandos del sistema operativo en el servidor CODE integrado (la aplicación richdocumentscode) que se usa dentro de Nextcloud. Cuando el servidor de documentos CODE local no está en ejecución, un atacante puede llegar a proxy.php y ejecutar comandos en remoto. Los atacantes ya la están usando para implantar web shells en servidores Nextcloud. Desde ahí hacen reconocimiento y buscan almacenes de credenciales, artefactos de gestores de contraseñas y monederos de criptomonedas. La corrección se publicó en septiembre de 2026, en la versión 26.4.303.

CVE-2026-114625 (CVSS 9.9): Arista VeloCloud Orchestrator (on-premises). Es una inyección SQL que permite a un atacante remoto acceder a funciones internas privilegiadas. Para explotarla se necesita acceso de red a la interfaz web de VCO y una sesión autenticada válida, pero basta con el rol mínimo, Enterprise Read Only. Arista ha confirmado que el fallo se está explotando activamente. No ha atribuido la actividad a ningún grupo, no ha explicado cómo se aprovecha ni qué hicieron los atacantes tras escalar privilegios, y tampoco ha dicho cuántas organizaciones están afectadas. Sí ha compartido dos direcciones IP, geolocalizadas en Japón, vinculadas a la actividad:

74.82.197[.]86
38.54.50[.]151

Las versiones corregidas salieron en octubre de 2026: 5.2.3.18, 6.1.3.10 y 6.4.2.12.

Es la tercera vulnerabilidad de VeloCloud Orchestrator explotada activamente desde julio de 2026. Las dos anteriores fueron CVE-2026-16812 y CVE-2026-93952, ambas con CVSS 10.0.

Las agencias del Poder Ejecutivo Civil Federal de EE. UU. (FCEB) tienen hasta el 26 de octubre de 2026 para aplicar los parches.

Por qué importa

Un servidor de colaboración es un punto de entrada muy valioso. Una instancia de Nextcloud comprometida deja al descubierto los archivos que la empresa comparte internamente. Aquí los atacantes buscan expresamente contraseñas y monederos, así que el objetivo es el robo de credenciales y el acceso posterior, no un simple defacement.
"Solo lectura" no significa bajo riesgo. El fallo de VCO exige iniciar sesión, pero con la cuenta más débil. Una sola cuenta de bajo privilegio, robada por phishing o con una contraseña reutilizada, abre camino a las funciones privilegiadas del sistema que orquesta su red SD-WAN.
Objetivo recurrente. Tres fallos de VCO explotados en unos cuatro meses demuestran que los atacantes estudian este producto activamente. Los orquestadores sin parchear seguirán siendo atacados.

Qué hacer

Actualice ya. Lleve el servidor CODE integrado de Collabora a la versión 26.4.303 o posterior. En VeloCloud Orchestrator on-premises, pase a 5.2.3.18, 6.1.3.10 o 6.4.2.12 (o superior) según su rama.
Compruebe si ya le han comprometido. En los servidores Nextcloud, busque archivos PHP inesperados y web shells, sobre todo en torno al directorio de la aplicación richdocumentscode, y revise las peticiones a proxy.php. En VCO, revise los registros de autenticación y auditoría en busca de actividad inusual de cuentas de solo lectura.
Busque los indicadores publicados. Revise los registros de firewall, proxy y VCO en busca de conexiones desde las dos direcciones IP indicadas.
Reduzca la exposición. No deje la interfaz web de VCO abierta a internet: póngala detrás de una VPN o de una lista de IP permitidas. Audite y reduzca las cuentas de bajo privilegio y exija MFA.
Rote los secretos almacenados en cualquier servidor que no pueda descartar como comprometido, o accesibles desde él.
Cierre la ventana. Localice dónde funcionan estos productos antes que los atacantes. Nuestro servicio de escaneo de vulnerabilidades comprueba de forma continua sus sistemas expuestos a internet frente a CVE explotados activamente, como estos dos, para que un Nextcloud o un orquestador sin parchear se detecte y se priorice en cuanto se convierte en un riesgo real.