CISA inserisce due vulnerabilità di Arista e Nextcloud nel KEV

Il 23 ottobre 2026 la CISA ha aggiunto al catalogo KEV, che raccoglie le vulnerabilità note sfruttate attivamente, due falle distinte: CVE-2026-114625 in VeloCloud Orchestrator On-Premise e CVE-2026-110447 nell’app Collabora Online Built-in CODE per Nextcloud. Per capire quale aggiornamento applicare, controlla il componente e la versione installata: i due problemi hanno condizioni di sfruttamento e correzioni diverse.

VeloCloud: controllare ramo e accessi

CVE-2026-114625 riguarda VCO On-Premise e sfrutta una vulnerabilità di tipo SQL injection. Arista specifica che l’attacco richiede accesso di rete all’interfaccia web e una sessione autenticata del portale VCO: Enterprise Read Only è il ruolo integrato minimo. Non basta quindi la sola raggiungibilità dell’interfaccia. Arista afferma inoltre che VCO è esposto per impostazione predefinita e che nessuna configurazione impedisce tale esposizione.

Verifica il ramo in uso prima di aggiornare: le correzioni sono 5.2.3.18, 6.1.3.10 e 6.4.2.12, ciascuna valida per il rispettivo ramo e per le versioni successive al suo interno. Arista ha riferito di avere già corretto le proprie istanze VCO hosted, comprese quelle Dedicated. Per le installazioni On-Premise, l’intervento spetta agli amministratori; Arista non ha valutato le versioni fuori supporto.

Se l’aggiornamento non è immediato, Arista raccomanda di limitare l’interfaccia web alle reti amministrative fidate e di controllare i log per gli indirizzi IP 74.82.197.86 e 38.54.50.151, indicati come sorgenti di attacchi osservate. In caso di sospetta compromissione, l’azienda consiglia, quando possibile, di conservare prima della bonifica i log di accesso web, applicativi, di sistema e del database, oltre alle date di modifica dei file pertinenti. Suggerisce anche di verificare attività amministrative insolite, demoni backdoor o web shell e traffico in uscita inatteso.

Nextcloud: disattivare Built-in CODE non risolve la falla

CVE-2026-110447 interessa richdocumentscode, l’app Collabora Online Built-in CODE integrata con Nextcloud. La falla è in proxy.php e consente di eseguire comandi del sistema operativo con i privilegi dell’utente del server web, senza autenticazione preventiva, quando il server CODE integrato non è in esecuzione. La condizione può verificarsi durante un riavvio o un aggiornamento del container, oppure dopo un arresto anomalo.

Collabora indica 26.4.303 come versione corretta dell’app. Se usi Nextcloud 29 o una versione precedente, la versione corretta di Built-in CODE richiede prima l’aggiornamento a Nextcloud 30 o successivo; in alternativa, rimuovi l’app. La sola disattivazione non corregge il problema. I server Collabora Online autonomi non sono interessati da questa specifica vulnerabilità.

La correzione precedente per CVE-2025-66208 non copre CVE-2026-110447: Collabora descrive percorsi di attacco diversi. NeoTeo ha già trattato la distinzione tra le vulnerabilità Collabora per Nextcloud.

Cronologia delle segnalazioni e ambito della direttiva CISA

Collabora ha pubblicato il proprio avviso il 14 ottobre 2026 e Arista il 22 ottobre; il giorno successivo la CISA ha inserito separatamente entrambe le vulnerabilità nel catalogo KEV sulla base di evidenze di sfruttamento attivo. Heise ha riferito che voci nel tracker e segnalazioni di utenti su web shell nei server Nextcloud risalivano almeno all’11 settembre 2026.

La direttiva vincolante BOD 26-04 della CISA riguarda le agenzie federali civili del ramo esecutivo degli Stati Uniti. Per le altre organizzazioni, la CISA raccomanda di dare priorità alle vulnerabilità inserite nel catalogo KEV.