Le 23 octobre 2026, la CISA a inscrit deux vulnérabilités distinctes au catalogue des failles exploitées connues (KEV) : CVE-2026-114625, dans VeloCloud Orchestrator On-Premise, et CVE-2026-110447, dans l’application Collabora Online Built-in CODE pour Nextcloud. Les versions à vérifier et les mesures à prendre dépendent du produit concerné. La CISA a publié une alerte pour chaque faille VCO et Collabora.
| Vulnérabilité et produit | Faille et condition | Version corrigée | Action à prendre |
| CVE-2026-114625, VeloCloud Orchestrator On-Premise | Injection SQL. L’exploitation nécessite un accès réseau à l’interface web VCO et une session authentifiée du portail. Enterprise Read Only est le rôle intégré minimal. | 5.2.3.18 ou ultérieure dans la branche 5.2 ; 6.1.3.10 ou ultérieure dans la branche 6.1 ; 6.4.2.12 ou ultérieure dans la branche 6.4. | Mettre à jour vers la version corrigée de la branche utilisée. En attendant, limiter l’accès à l’interface aux réseaux d’administration de confiance. |
| CVE-2026-110447, Collabora Online Built-in CODE pour Nextcloud | Injection de commande via proxy.php lorsque le serveur CODE intégré ne fonctionne pas. Une requête sans authentification peut exécuter une commande avec les droits de l’utilisateur du serveur web. | richdocumentscode 26.4.303 ou ultérieure ; cette version corrigée requiert Nextcloud 30 ou une version ultérieure. | Mettre à jour l’application ou la supprimer. La désactiver ne corrige pas la faille. |
VeloCloud : vérifier la branche et les accès
CVE-2026-114625 concerne VeloCloud Orchestrator On-Premise. Arista précise qu’une session authentifiée est nécessaire, avec le rôle intégré Enterprise Read Only comme niveau minimal, en plus de l’accès réseau à l’interface web. La faille ne permet donc pas à un attaquant sans compte de lancer directement l’exploitation dans les conditions décrites par Arista.
Les seuils de correction diffèrent selon la branche : 5.2.3.18, 6.1.3.10 et 6.4.2.12. Arista indique que ses versions en fin de support n’ont pas été évaluées. L’entreprise précisait aussi, dans son avis du 22 octobre, que les déploiements VCO hébergés, y compris Dedicated, avaient déjà été corrigés ; les administrateurs doivent vérifier les installations sur site.
Arista a relevé les adresses IP 74.82.197.86 et 38.54.50.151 comme sources d’attaques et recommande de les bloquer et de les rechercher dans les journaux VCO. En cas de compromission suspectée, elle préconise de préserver, lorsque les contraintes d’exploitation le permettent, les journaux d’accès web, d’application, système et base de données ainsi que les dates de modification pertinentes du système de fichiers avant toute remédiation. L’avis de sécurité d’Arista détaille ces mesures.
Collabora : mettre à jour l’application intégrée
CVE-2026-110447 touche richdocumentscode, l’application Collabora Built-in CODE installée dans Nextcloud. Selon Collabora, l’exploitation devient possible lorsque le serveur intégré ne fonctionne pas, par exemple pendant un redémarrage ou une mise à niveau, ou après un plantage. La version 26.4.303 corrige la faille. Désactiver l’application ne suffit pas : il faut la mettre à jour ou la supprimer.
La version corrigée nécessite Nextcloud 30 ou une version ultérieure. Les installations sur Nextcloud 29 ou une version plus ancienne doivent donc mettre à niveau Nextcloud ou supprimer l’application. Les serveurs Collabora Online autonomes ne sont pas concernés par cette vulnérabilité. Collabora précise également que le correctif de CVE-2025-66208 ne protège pas contre CVE-2026-110447 : les deux failles suivent des chemins distincts. L’avis de Collabora donne le périmètre et la version corrigée.
Heise rapportait le 26 octobre 2026 que des entrées dans le suivi du problème et des signalements d’utilisateurs faisant état de web shells sur des serveurs Nextcloud remontaient au 11 septembre 2026 au plus tôt.
La directive BOD 26-04 de la CISA s’applique aux agences fédérales civiles du pouvoir exécutif des États-Unis. La CISA encourage les autres organisations à traiter en priorité les vulnérabilités inscrites au catalogue KEV.
