CISA nam op 23 oktober 2026 twee afzonderlijke kwetsbaarheden op in de KEV-catalogus, op basis van bewijs van actief misbruik: CVE-2026-114625 in VeloCloud Orchestrator On-Premise en CVE-2026-110447 in Collabora Online Built-in CODE voor Nextcloud. Welke update nodig is, hangt af van het product en de geïnstalleerde versie.
| Kwetsbaarheid en getroffen component | Voorwaarde voor misbruik | Opgeloste versie | Actie voor beheerders |
| CVE-2026-114625, VeloCloud Orchestrator On-Premise | Netwerktoegang tot de VCO-webinterface en een geldige aangemelde portalsessie; Enterprise Read Only is de minimale ingebouwde rol. | 5.2.3.18 of hoger binnen 5.2; 6.1.3.10 of hoger binnen 6.1; 6.4.2.12 of hoger binnen 6.4. | Werk bij naar de opgeloste versie voor de gebruikte branch. |
CVE-2026-110447, Collabora richdocumentscode voor Nextcloud | proxy.php is kwetsbaar wanneer de ingebouwde CODE-server niet actief is, bijvoorbeeld tijdens een herstart of upgrade of na een crash. | 26.4.303 of hoger. De bijgewerkte app vereist Nextcloud 30 of hoger. | Werk de app bij of verwijder deze. Alleen uitschakelen is onvoldoende. |
VeloCloud Orchestrator: controleer de branch en toegang
CVE-2026-114625 is een SQL-injectie in VCO On-Premise. Arista zegt dat misbruik zowel netwerktoegang tot de webinterface als een geldige, geauthenticeerde portalsessie vereist. Een aanvaller heeft daarvoor minimaal de ingebouwde rol Enterprise Read Only nodig.
Controleer of de installatie op versie 5.2.x lager dan 5.2.3.18, 6.1.x lager dan 6.1.3.10 of 6.4.x lager dan 6.4.2.12 draait. Arista adviseert VCO On-Premise bij te werken naar de vaste versie voor de betreffende branch of een latere versie daarvan. In het beveiligingsadvies van 22 oktober 2026 meldde Arista dat gehoste VCO-omgevingen, waaronder Dedicated, al waren bijgewerkt.
Tot de update adviseert Arista de toegang tot de webinterface te beperken tot vertrouwde beheernetwerken. Het bedrijf noemt 74.82.197.86 en 38.54.50.151 als waargenomen IP-adressen van aanvallen en raadt aan deze te blokkeren en de VCO-logbestanden erop te controleren. Bij een vermoeden van inbraak adviseert Arista relevante webtoegangs-, applicatie-, systeem- en databaselogboeken en bestandssysteemtijdstempels te bewaren voordat herstelwerk begint, voor zover dat operationeel haalbaar is. Arista's beveiligingsadvies bevat de versies en aanbevelingen.
Nextcloud: alleen uitschakelen verhelpt de Collabora-fout niet
CVE-2026-110447 treft de Nextcloud-app Collabora Online Built-in CODE (richdocumentscode) onder versie 26.4.303. De fout zit in proxy.php: wanneer de ingebouwde CODE-server niet draait, kan een verzoek zonder voorafgaande authenticatie een besturingssysteemopdracht uitvoeren onder het account van de webserver.
Werk richdocumentscode bij naar versie 26.4.303 of hoger, of verwijder de app. Alleen uitschakelen verhelpt het probleem niet. De bijgewerkte app vereist Nextcloud 30 of hoger; wie Nextcloud 29 of ouder gebruikt, moet Nextcloud bijwerken of de app verwijderen. Zelfstandige Collabora Online-servers vallen niet onder deze kwetsbaarheid. Collabora vermeldt bovendien dat CVE-2026-110447 een ander aanvalspad gebruikt dan CVE-2025-66208; de eerdere oplossing voor die kwetsbaarheid verhelpt deze fout dus niet. Collabora's beveiligingsadvies beschrijft de getroffen app en de oplossing.
Heise meldde dat trackerberichten en gebruikersmeldingen over webshells op Nextcloud-servers teruggingen tot ten minste 11 september 2026.
Voor wie geldt CISA's richtlijn?
CISA's bindende richtlijn BOD 26-04 geldt voor Amerikaanse federale civiele uitvoerende agentschappen. CISA moedigt andere organisaties aan kwetsbaarheden in de KEV-catalogus prioriteit te geven. CISA licht de richtlijn toe.
