CISA adaugă în KEV vulnerabilități exploatate în Collabora Online și Arista VeloCloud

Două vulnerabilități critice sunt acum confirmate oficial ca exploatate activ: una în serverul de documente pe care se bazează multe instalări Nextcloud, cealaltă în Arista VeloCloud Orchestrator. CISA le-a inclus pe amândouă în catalogul Known Exploited Vulnerabilities (KEV). Dacă folosiți oricare dintre aceste produse, actualizarea trebuie tratată ca o urgență.

Ce s-a întâmplat

CVE-2026-110447 (CVSS 9.2): Collabora Online Built-in CODE Server. Este o vulnerabilitate de tip injecție de comenzi în sistemul de operare, prezentă în serverul CODE integrat (aplicația richdocumentscode) folosit în Nextcloud. Când serverul local de documente CODE nu rulează, un atacator poate ajunge la proxy.php și poate executa comenzi de la distanță. Atacatorii o folosesc deja pentru a instala web shell-uri pe servere Nextcloud. Apoi fac recunoaștere și caută depozite de credențiale, artefacte din managere de parole și portofele de criptomonede. Corecția a fost publicată în septembrie 2026, în versiunea 26.4.303.

CVE-2026-114625 (CVSS 9.9): Arista VeloCloud Orchestrator (on-premises). Este o vulnerabilitate de tip SQL injection care îi permite unui atacator de la distanță să acceseze funcții interne privilegiate. Exploatarea necesită acces de rețea la interfața web VCO și o sesiune autentificată validă, însă ajunge și rolul minim, Enterprise Read Only. Arista a confirmat că vulnerabilitatea este exploatată activ. Compania nu a atribuit activitatea vreunui grup, nu a explicat cum este folosită breșa sau ce au făcut atacatorii după escaladarea privilegiilor și nu a precizat câte organizații sunt afectate. A publicat însă două adrese IP, geolocalizate în Japonia, asociate activității:

74.82.197[.]86
38.54.50[.]151

Versiunile corectate au apărut în octombrie 2026: 5.2.3.18, 6.1.3.10 și 6.4.2.12.

Este a treia vulnerabilitate din VeloCloud Orchestrator exploatată activ din iulie 2026 încoace. Primele două au fost CVE-2026-16812 și CVE-2026-93952, ambele cu scor CVSS 10.0.

Agențiile federale civile din SUA (FCEB) au termen până la 26 octombrie 2026 să aplice corecțiile.

De ce contează

Un server de colaborare este o poartă de intrare valoroasă. O instanță Nextcloud compromisă expune fișierele pe care o firmă le partajează intern. Atacatorii vânează în mod explicit parole și portofele, deci scopul este furtul de credențiale și accesul ulterior, nu un simplu defacement.
„Read-only" nu înseamnă risc mic. Breșa din VCO cere autentificare, dar doar cu cel mai slab rol. Un singur cont cu privilegii minime, compromis prin phishing sau cu parolă refolosită, devine o cale spre funcțiile privilegiate ale sistemului care vă orchestrează rețeaua SD-WAN.
Ținte repetate. Trei vulnerabilități VCO exploatate în aproximativ patru luni arată că atacatorii studiază activ acest produs. Orchestratoarele neactualizate vor continua să fie lovite.

Ce trebuie făcut

Actualizați acum. Duceți serverul CODE integrat Collabora la 26.4.303 sau mai nou. Pentru VeloCloud Orchestrator on-premises, treceți la 5.2.3.18, 6.1.3.10 sau 6.4.2.12 (ori mai nou), în funcție de ramura folosită.
Verificați dacă ați fost deja compromiși. Pe serverele Nextcloud, căutați fișiere PHP neașteptate și web shell-uri, mai ales în jurul directorului aplicației richdocumentscode, și analizați cererile către proxy.php. Pe VCO, verificați jurnalele de autentificare și de audit pentru activitate neobișnuită a conturilor read-only.
Căutați indicatorii publicați. Verificați în jurnalele de firewall, proxy și VCO conexiunile de la cele două adrese IP de mai sus.
Reduceți expunerea. Nu lăsați interfața web VCO accesibilă direct din internet: puneți-o în spatele unui VPN sau al unei liste de IP-uri permise. Auditați și reduceți conturile cu privilegii minime și impuneți MFA.
Schimbați secretele stocate pe orice server despre care nu puteți exclude că a fost compromis sau accesibile de pe acesta.
Închideți fereastra de expunere. Aflați unde rulează aceste produse înaintea atacatorilor. Serviciul nostru de scanare a vulnerabilităților verifică permanent sistemele expuse la internet față de CVE-uri exploatate activ, ca acestea două. Astfel, un Nextcloud sau un orchestrator neactualizat este semnalat și prioritizat imediat ce devine un risc real.