Die US-Cybersicherheitsbehörde CISA nahm am 23. Oktober 2026 zwei voneinander unabhängige Sicherheitslücken wegen aktiver Ausnutzung in ihren Katalog bekannter, aktiv ausgenutzter Schwachstellen (Known Exploited Vulnerabilities, KEV) auf: CVE-2026-114625 in VeloCloud Orchestrator On-Premise und CVE-2026-110447 im integrierten Collabora CODE-Server für Nextcloud. Welche Systeme betroffen sind und welche Versionen die Fehler beheben, hängt vom jeweiligen Produkt ab. CISA listete die VCO-Lücke und die Collabora-Lücke in separaten Meldungen.
VeloCloud Orchestrator: Zugriff und betroffene Versionen
CVE-2026-114625 ist eine SQL-Injection, also ein Fehler, durch den speziell formulierte Datenbankabfragen eingeschleust werden können. Laut Aristas Sicherheitsmitteilung braucht ein Angreifer dafür Netzwerkzugriff auf die VCO-Weboberfläche und eine gültige, angemeldete Portal-Sitzung. Die niedrigste erforderliche integrierte Rolle ist Enterprise Read Only.
| Sicherheitslücke und Komponente | Bedingung | Behobene Version | Maßnahme |
| CVE-2026-114625, VeloCloud Orchestrator On-Premise | Netzwerkzugriff auf die Weboberfläche und angemeldete Portal-Sitzung; mindestens Enterprise Read Only | 5.2.3.18 und höher in 5.2; 6.1.3.10 und höher in 6.1; 6.4.2.12 und höher in 6.4 | Auf eine behobene Version des jeweiligen Zweigs aktualisieren; bis dahin den Webzugriff auf vertrauenswürdige Administrationsnetze beschränken |
CVE-2026-110447, Collabora richdocumentscode für Nextcloud | Der integrierte CODE-Server läuft nicht; über proxy.php können ohne vorherige Anmeldung Betriebssystembefehle als Webserver-Benutzer ausgeführt werden | richdocumentscode 26.4.303; die behobene App setzt Nextcloud 30 oder neuer voraus | App auf 26.4.303 oder neuer aktualisieren oder entfernen; bloßes Deaktivieren reicht nicht |
Arista zufolge waren gehostete VCO-Instanzen einschließlich Dedicated-Deployments betroffen, aber bereits gepatcht. Die Versionsprüfung betrifft daher insbesondere VCO On-Premise. Arista hat Softwarestände außerhalb des Supports nicht bewertet.
Für VCO nennt Arista die beobachteten Angriffs-IP-Adressen 74.82.197.86 und 38.54.50.151. Die Empfehlung des Unternehmens: die Adressen blockieren und VCO-Protokolle nach ihnen durchsuchen. Bei Verdacht auf einen Einbruch sollten Administratoren, soweit betrieblich möglich, Webzugriffs-, Backend-, System- und Datenbankprotokolle sowie relevante Dateisystem-Zeitstempel vor der Bereinigung sichern.
Collabora CODE in Nextcloud: Deaktivieren genügt nicht
CVE-2026-110447 betrifft die Nextcloud-App richdocumentscode, genauer proxy.php. Die Schwachstelle kann ausgenutzt werden, wenn der integrierte CODE-Server nicht läuft, etwa während eines Neustarts oder einer Aktualisierung oder nach einem Absturz. Der Fehler betrifft den eingebauten Server, nicht eigenständige Collabora-Online-Server.
Wer Nextcloud 29 oder eine ältere Version nutzt, muss laut Collaboras Sicherheitsmitteilung entweder Nextcloud aktualisieren oder die App entfernen: Die behobene App-Version 26.4.303 setzt Nextcloud 30 oder neuer voraus. Auch eine ältere Korrektur für CVE-2025-66208 schließt CVE-2026-110447 nicht, denn die beiden Fehler betreffen unterschiedliche Angriffspfade.
Heise berichtete, Einträge im Issue-Tracker und Meldungen betroffener Nutzer über Webshells auf Nextcloud-Servern reichten mindestens bis zum 11. September 2026 zurück.
CISAs verbindliche Vorgabe BOD 26-04 gilt für US-Bundesbehörden der Federal Civilian Executive Branch. Anderen Organisationen empfiehlt die Behörde, Schwachstellen aus dem KEV-Katalog vorrangig zu behandeln.
