Em 23 de outubro de 2026, a CISA incluiu duas vulnerabilidades distintas no catálogo Known Exploited Vulnerabilities (KEV), com base em evidências de exploração ativa: CVE-2026-114625, no VeloCloud Orchestrator On-Premise, e CVE-2026-110447, no Collabora Online Built-in CODE para Nextcloud. Cada falha tem condições e correções próprias.
Duas falhas, correções diferentes
Os avisos da Arista e da Collabora delimitam os componentes afetados e as versões corrigidas:
| Vulnerabilidade e componente | Falha e condição | Versão corrigida | Ação administrativa |
| CVE-2026-114625, VeloCloud Orchestrator On-Premise | Injeção de SQL. Exige acesso de rede à interface web do VCO e uma sessão autenticada no portal; Enterprise Read Only é a função integrada mínima. | 5.2.3.18 ou posterior na ramificação 5.2; 6.1.3.10 ou posterior na 6.1; 6.4.2.12 ou posterior na 6.4. | Atualize a instalação On-Premise para a versão corrigida da respectiva ramificação. Até lá, restrinja a interface web às redes administrativas confiáveis. |
| CVE-2026-110447, Collabora Online Built-in CODE para Nextcloud | Injeção de comandos do sistema operacional em proxy.php, quando o servidor Built-in CODE não está em execução, como durante uma reinicialização ou atualização, ou após uma falha. O comando pode ser executado como usuário do servidor web sem autenticação prévia. | richdocumentscode 26.4.303 ou posterior; o aplicativo corrigido exige Nextcloud 30 ou posterior. | Atualize o aplicativo ou remova-o. Desativá-lo não corrige a falha. |
VeloCloud Orchestrator: confira a instalação On-Premise
A Arista informa que o problema afeta as ramificações 5.2.x, 6.1.x e 6.4.x anteriores aos respectivos níveis corrigidos. O requisito de uma sessão autenticada significa que a falha não é descrita como um ataque sem autenticação: o acesso à interface web e uma conta com, no mínimo, a função Enterprise Read Only são necessários. A Arista diz que o VCO fica exposto por padrão e que nenhuma configuração impede essa exposição.
A Arista informou que as instâncias hospedadas, inclusive as Dedicated, já haviam sido corrigidas. Para instalações locais, a empresa recomenda bloquear os endereços IP 74.82.197.86 e 38.54.50.151 e procurá-los nos logs. Se houver suspeita de comprometimento, recomenda preservar, quando operacionalmente viável antes da remediação, os registros de acesso web, aplicação de backend, sistema e banco de dados, além de dados de data e hora relevantes do sistema de arquivos. A empresa não avaliou versões fora de suporte.
Collabora no Nextcloud: desativar não basta
A CVE-2026-110447 afeta o aplicativo integrado richdocumentscode, não servidores Collabora Online independentes. A falha pode ser acionada quando o Built-in CODE não está em execução, inclusive durante uma reinicialização ou atualização. Por isso, deixar o aplicativo desativado não substitui a atualização para a versão 26.4.303 ou posterior, nem sua remoção. A versão corrigida requer Nextcloud 30 ou mais recente.
Esta vulnerabilidade também segue um caminho diferente da CVE-2025-66208. A correção da falha anterior não protege contra a CVE-2026-110447. O NeoTeo já explicou a diferença entre essas vulnerabilidades do Collabora para Nextcloud.
Relatos sobre o Nextcloud e alcance da diretiva da CISA
Em reportagem publicada em 26 de outubro, a Heise relatou que entradas em um rastreador de problemas e relatos de usuários situavam notificações de web shells em servidores Nextcloud desde pelo menos 11 de setembro de 2026. Essa cronologia é atribuída aos registros e relatos descritos pela publicação; ela não quantifica o total de instalações afetadas.
A diretriz operacional vinculante BOD 26-04 da CISA se aplica às agências federais civis do Poder Executivo dos Estados Unidos. A agência incentiva outras organizações a priorizar vulnerabilidades incluídas no KEV, mas essa recomendação não estende a elas a obrigação federal.
