23 października 2026 r. amerykańska agencja CISA dodała do katalogu Known Exploited Vulnerabilities (KEV) dwie odrębne podatności, dla których odnotowano aktywne wykorzystywanie: CVE-2026-114625 w VeloCloud Orchestrator On-Premise firmy Arista oraz CVE-2026-110447 w aplikacji Collabora Online Built-in CODE dla Nextcloud. Każda dotyczy innego komponentu i wymaga innego działania administratora.
Które wersje VeloCloud Orchestrator są podatne
CVE-2026-114625 to podatność typu SQL injection w VeloCloud Orchestrator (VCO) On-Premise. Według komunikatu Arista skuteczne wykorzystanie błędu wymaga dostępu sieciowego do interfejsu WWW VCO i uwierzytelnionej sesji w portalu. Minimalną wbudowaną rolą jest Enterprise Read Only, więc nie jest to atak niewymagający uwierzytelnienia. Wykorzystanie podatności może dać uprawnienia operatora i dostęp do wewnętrznych funkcji systemu.
Arista wskazała podatne wspierane wersje z gałęzi 5.2.x wcześniejsze niż 5.2.3.18, 6.1.x wcześniejsze niż 6.1.3.10 oraz 6.4.x wcześniejsze niż 6.4.2.12. Poprawki zawierają te wersje i nowsze wydania w odpowiednich gałęziach. Wersji wycofanych ze wsparcia Arista nie oceniała.
Arista podała, że podatność dotyczyła także hostowanych wdrożeń VCO, w tym Dedicated, i że zostały one już załatane. Administratorzy VCO On-Premise powinni sprawdzić gałąź i zainstalowaną wersję. Do czasu aktualizacji Arista zaleca ograniczyć dostęp do interfejsu WWW do zaufanych sieci administracyjnych. W komunikacie wymienia też adresy 74.82.197.86 i 38.54.50.151 jako zaobserwowane źródła ataków; zaleca je blokować i sprawdzić, czy pojawiają się w logach. Przy podejrzeniu włamania rekomenduje zachowanie logów dostępu do WWW, aplikacji, systemu i bazy danych oraz istotnych znaczników czasu plików przed usuwaniem śladów, jeśli pozwala na to sytuacja operacyjna.
Poprawka dla Collabora Built-in CODE w Nextcloud
CVE-2026-110447 dotyczy aplikacji richdocumentscode, czyli Collabora Online Built-in CODE Server zintegrowanego z Nextcloud. Błąd w proxy.php pozwala wykonać polecenie systemu operacyjnego jako użytkownik serwera WWW bez wcześniejszego uwierzytelnienia, gdy wbudowany serwer CODE nie działa, na przykład podczas restartu lub aktualizacji albo po awarii.
Komunikat Collabora wskazuje wersję richdocumentscode 26.4.303 jako poprawioną. Samo wyłączenie aplikacji nie usuwa podatności: należy ją zaktualizować do wersji 26.4.303 lub nowszej albo odinstalować. Poprawiona aplikacja wymaga Nextcloud 30 lub nowszego. Użytkownicy Nextcloud 29 lub starszego muszą zaktualizować Nextcloud albo usunąć aplikację. Podatność nie obejmuje samodzielnych serwerów Collabora Online.
Poprawka dotycząca CVE-2025-66208 nie zabezpiecza przed CVE-2026-110447. Collabora opisuje je jako odrębne ścieżki ataku, więc administratorzy powinni sprawdzić wersję aplikacji pod kątem nowszego błędu, nawet jeśli wcześniej wdrożyli poprawkę dla CVE-2025-66208.
| Podatność i komponent | Warunek wykorzystania | Poprawiona wersja | Działanie administratora |
| CVE-2026-114625, VeloCloud Orchestrator On-Premise | Dostęp sieciowy do interfejsu WWW i uwierzytelniona sesja portalu; minimalna rola to Enterprise Read Only | 5.2.3.18, 6.1.3.10 lub 6.4.2.12, zależnie od gałęzi; także nowsze wydania w tych gałęziach | Zaktualizować VCO do poprawionego wydania; do tego czasu ograniczyć dostęp do interfejsu i sprawdzić logi pod kątem podanych adresów IP |
| CVE-2026-110447, Collabora Built-in CODE w Nextcloud | Wbudowany serwer CODE nie działa, a podatna aplikacja obsługuje żądanie w proxy.php | richdocumentscode 26.4.303 lub nowszy; poprawiona aplikacja wymaga Nextcloud 30 lub nowszego | Zaktualizować aplikację albo ją usunąć; samo wyłączenie nie wystarcza |
Zgłoszenia z Nextcloud i zakres dyrektywy CISA
Heise podał, że wpisy w trackerze Collabora i zgłoszenia użytkowników dotyczące webshelli na serwerach Nextcloud sięgały co najmniej 11 września 2026 r. To relacjonowana chronologia zgłoszeń; nie określa liczby zaatakowanych serwerów ani czasu trwania kampanii.
Dyrektywa CISA BOD 26-04, związana z katalogiem KEV, obowiązuje amerykańskie federalne agencje cywilne władzy wykonawczej. CISA zachęca pozostałe organizacje do priorytetowego traktowania podatności z katalogu, ale nie obejmuje ich tym samym wiążącym wymogiem.
