CISA adiciona ao KEV falhas exploradas no Collabora Online e no Arista VeloCloud

Duas vulnerabilidades críticas constam agora oficialmente como exploradas ativamente: uma no servidor de documentos de que muitas instalações Nextcloud dependem e outra no Arista VeloCloud Orchestrator. A CISA acrescentou ambas ao seu catálogo Known Exploited Vulnerabilities (KEV). Se algum destes produtos estiver a correr no seu ambiente, trate a atualização como uma emergência.

O que aconteceu

CVE-2026-110447 (CVSS 9.2): Collabora Online Built-in CODE Server. Trata-se de uma vulnerabilidade de injeção de comandos do sistema operativo no servidor CODE integrado (a aplicação richdocumentscode) utilizado no Nextcloud. Quando o servidor de documentos CODE local não está em execução, um atacante consegue chegar ao proxy.php e executar comandos remotamente. Os atacantes já a estão a usar para instalar web shells em servidores Nextcloud. A partir daí fazem reconhecimento e procuram repositórios de credenciais, artefactos de gestores de palavras-passe e carteiras de criptomoedas. A correção foi publicada em setembro de 2026, na versão 26.4.303.

CVE-2026-114625 (CVSS 9.9): Arista VeloCloud Orchestrator (on-premises). É uma injeção de SQL que permite a um atacante remoto aceder a funcionalidades internas privilegiadas. A exploração exige acesso de rede à interface web do VCO e uma sessão autenticada válida, mas basta o perfil mínimo, Enterprise Read Only. A Arista confirmou que a falha está a ser explorada ativamente. Não atribuiu a atividade a nenhum grupo, não explicou como está a ser aproveitada nem o que os atacantes fizeram depois de escalar privilégios, e também não indicou quantas organizações foram afetadas. Divulgou, no entanto, dois endereços IP, geolocalizados no Japão, associados à atividade:

74.82.197[.]86
38.54.50[.]151

As versões corrigidas saíram em outubro de 2026: 5.2.3.18, 6.1.3.10 e 6.4.2.12.

É a terceira vulnerabilidade do VeloCloud Orchestrator explorada ativamente desde julho de 2026. As duas anteriores foram a CVE-2026-16812 e a CVE-2026-93952, ambas com CVSS 10.0.

As agências do Poder Executivo Civil Federal dos EUA (FCEB) têm até 26 de outubro de 2026 para aplicar as correções.

Porque é importante

Um servidor de colaboração é uma porta de entrada valiosa. Uma instância Nextcloud comprometida expõe os ficheiros que a empresa partilha internamente. Os atacantes procuram expressamente palavras-passe e carteiras, por isso o objetivo é o roubo de credenciais e o acesso posterior, não uma simples desfiguração.
"Só de leitura" não significa baixo risco. A falha do VCO exige autenticação, mas apenas com a conta mais fraca. Uma única conta de baixo privilégio, obtida por phishing ou com uma palavra-passe reutilizada, abre caminho às funções privilegiadas do sistema que orquestra a sua rede SD-WAN.
Alvo recorrente. Três falhas do VCO exploradas em cerca de quatro meses mostram que os atacantes estão a estudar este produto ativamente. Os orquestradores por atualizar vão continuar a ser atacados.

O que fazer

Atualize já. Leve o servidor CODE integrado do Collabora para a versão 26.4.303 ou posterior. No VeloCloud Orchestrator on-premises, passe para 5.2.3.18, 6.1.3.10 ou 6.4.2.12 (ou superior), conforme o seu ramo.
Verifique se já foi comprometido. Nos servidores Nextcloud, procure ficheiros PHP inesperados e web shells, sobretudo em torno do diretório da aplicação richdocumentscode, e analise os pedidos ao proxy.php. No VCO, reveja os registos de autenticação e auditoria à procura de atividade invulgar de contas só de leitura.
Procure os indicadores divulgados. Pesquise nos registos de firewall, proxy e VCO ligações provenientes dos dois endereços IP acima.
Reduza a exposição. Não deixe a interface web do VCO aberta à internet: coloque-a atrás de uma VPN ou de uma lista de IP permitidos. Audite e reduza as contas de baixo privilégio e imponha MFA.
Substitua os segredos guardados em qualquer servidor que não possa excluir como comprometido, ou acessíveis a partir dele.
Feche a janela. Descubra onde estes produtos estão a correr antes dos atacantes. O nosso serviço de análise de vulnerabilidades verifica continuamente os seus sistemas expostos à internet face a CVE explorados ativamente, como estes dois, para que um Nextcloud ou um orquestrador por atualizar seja sinalizado e priorizado no momento em que se torna um risco real.