CISA внесло две критические уязвимости в каталог активно эксплуатируемых
Речь идёт об уязвимостях в Collabora Online Built-in CODE Server для Nextcloud и локальных версиях Arista VeloCloud Orchestrator. Обе позволяют удалённым атакующим получить доступ к чувствительным функциям систем при определённых условиях.
Агентство по кибербезопасности и защите инфраструктуры США (CISA) добавило в каталог Known Exploited Vulnerabilities две критические уязвимости, которые уже применяются в реальных атаках. Они затрагивают Collabora Online Built-in CODE Server в связке с Nextcloud и Arista VeloCloud Orchestrator (VCO).
Первая проблема, CVE-2026-110447 с оценкой CVSS 9,2, представляет собой внедрение команд операционной системы в компоненте richdocumentscode. Уязвимость возникает при использовании встроенного CODE Server в Nextcloud: если локальный сервер документов CODE не запущен, через proxy.php можно добиться удалённого выполнения кода. Исправление вышло в сентябре в версии 26.4.303.
По данным The Hacker News, эту уязвимость использовали для установки веб-оболочек на серверах Nextcloud. После этого атакующие проводили разведку и искали хранилища учётных данных, данные менеджеров паролей и криптокошельки.
Вторая уязвимость — CVE-2026-114625 с CVSS 9,9 — затрагивает развёрнутые локально версии Arista VeloCloud Orchestrator. SQL-инъекция позволяет удалённому атакующему обратиться к привилегированным внутренним функциям VCO. Для успешной атаки необходимы сетевой доступ к веб-интерфейсу оркестратора и действующая авторизованная сессия в его портале; минимальная требуемая роль пользователя — Enterprise Read Only.
Arista подтвердила, что CVE-2026-114625 уже эксплуатируют, но не раскрыла ни предполагаемого исполнителя атак, ни технических деталей эксплуатации, ни числа затронутых организаций. Компания сообщила о двух IP-адресах, геолокированных в Японии, которые связывает с этой активностью. Исправления для VCO выпущены в октябре в версиях 5.2.3.18, 6.1.3.10 и 6.4.2.12.
Это уже третья уязвимость в VeloCloud Orchestrator, для которой с июля 2026 года зафиксировано применение в атаках: ранее сообщалось о CVE-2026-16812 и CVE-2026-93952, обе с оценкой CVSS 10,0. Федеральным гражданским ведомствам США рекомендовано установить обновления для двух новых проблем до 26 октября 2026 года.