Zwei aktiv ausgenutzte Schwachstellen, die den in Nextcloud integrierten Collabora-Dokumentenserver und Aristas VeloCloud Orchestrator betreffen, stehen nun im Katalog der bekannten ausgenutzten Schwachstellen (Known Exploited Vulnerabilities) der CISA. Die Behebung ist bis zum 26. Oktober 2026 vorgeschrieben, außerdem sind forensische Triage-Anforderungen zu erfüllen.
Der Katalog verzeichnet am 23. Oktober Ergänzungen für CVE-2026-110447 und CVE-2026-114625. Ihre Ausnutzungsvoraussetzungen unterscheiden sich: Die Collabora-Schwachstelle erlaubt unauthentifizierte Befehlsausführung, solange der Dokumentenserver gestoppt ist. Die VeloCloud-Schwachstelle ermöglicht es einem authentifizierten Portalnutzer, Operator-Rechte zu erlangen.
Nextcloud-App erfordert ein Update oder die Entfernung
Für Nextcloud-Administratoren behebt das bloße Deaktivieren der App Collabora Online – Built-in CODE Server die Schwachstelle CVE-2026-110447 nicht. Abhilfe schafft das Entfernen der App oder ein Update von richdocumentscode auf Version 26.4.303 oder neuer, laut Collabora-Hinweis vom 14. Oktober.
Versionen vor 26.4.303 enthalten eine Schwachstelle durch Injection von Betriebssystembefehlen in proxy.php. Ohne Authentifizierung kann ein Angreifer eine Anfrage senden, die einen Befehl mit den Rechten des Webserver-Benutzers ausführt. Collabora stuft die Schwachstelle als kritisch ein, mit einem CVSS-v4-Wert von 9,2.
Voraussetzung ist, dass der integrierte CODE-Server nicht mehr läuft. Ein Neustart des Containers, ein Update oder ein Absturz kann diese Gelegenheit schaffen. Eigenständige Collabora-Online-Server fallen nicht in den betroffenen Bereich.
Collabora fordert Nutzer von Nextcloud-Versionen 29 und älter, deren Support ausgelaufen ist, zusätzlich auf, Nextcloud zu aktualisieren oder die App zu entfernen. Außerdem warnt das Unternehmen, dass der Patch für CVE-2025-66208 diesen Angriff nicht blockiert, da die Schwachstellen unterschiedliche Pfade betreffen.
Die Folgen gehen über die Möglichkeit zur Befehlsausführung hinaus. The Hacker News berichtet, Angreifer hätten CVE-2026-110447 genutzt, um Web-Shells auf Nextcloud-Servern zu platzieren. Anschließend hätten sie Aufklärung betrieben und nach Speichern von Zugangsdaten, Artefakten von Passwortmanagern und Kryptowallets gesucht.
VeloCloud-Korrekturen hängen von Bereitstellung und Release-Zweig ab
Aristas Reaktion unterscheidet zwischen vom Kunden betriebenen VeloCloud-Orchestrator-Installationen und gehosteten Diensten. Gehostete Bereitstellungen, einschließlich Dedicated-Instanzen, waren verwundbar, haben nach Angaben des Unternehmens aber bereits Patches erhalten.
Für lokal betriebene VCO legt Aristas Security Advisory 0199 folgende Grenzen für Updates fest:
- 5.2.x: Versionen vor 5.2.3.18 sind betroffen; Korrekturen beginnen ab 5.2.3.18 im 5.2-Zweig.
- 6.1.x: Versionen vor 6.1.3.10 sind betroffen; Korrekturen beginnen ab 6.1.3.10 im 6.1-Zweig.
- 6.4.x: Versionen vor 6.4.2.12 sind betroffen; Korrekturen beginnen ab 6.4.2.12 im 6.4-Zweig.
Versionen ohne Support wurden nicht bewertet. Kunden außerhalb der unterstützten Release-Zweige können sich wegen Update-Optionen an das Technical Assistance Center von Arista wenden. VeloCloud Edge und VeloCloud Gateway sind nicht betroffen.
Der am 22. Oktober veröffentlichte Hinweis besagt, Arista habe CVE-2026-114625 erkannt und wisse, dass die Schwachstelle aktiv ausgenutzt wird. Die SQL-Injection-Schwachstelle erreicht nach CVSS v3.1 einen Wert von 9,9 und nach CVSS v4.0 einen Wert von 9,4.
Für die Ausnutzung sind sowohl eine Verbindung zur Weboberfläche der VCO als auch eine gültige authentifizierte Portalsitzung erforderlich. Selbst die Rolle Enterprise Read Only, die niedrigste integrierte Mandantenrolle, reicht aus. Ein Angreifer kann seine Rechte auf Operator-Ebene erweitern, sich als lokaler „Superuser Operator“ ausgeben und Funktionen erreichen, die ausschließlich für den internen Gebrauch bestimmt sind. Laut Arista kann der so erlangte Zugriff die Vertraulichkeit, Integrität und Verfügbarkeit des Orchestrators und seiner verwalteten Daten gefährden und auch den VCO-Host betreffen.
Arista beschreibt VCO als standardmäßig exponiert und erklärt, dass keine Konfiguration diese Exponierung verhindert. Bis zum Update empfiehlt das Unternehmen, den Zugriff auf die Weboberfläche auf vertrauenswürdige Administrationsnetze zu beschränken. Außerdem sollte man auf unerwarteten ausgehenden Datenverkehr, Backdoor-Daemons und Webshells prüfen und die letzten Aktivitäten von Administratoren untersuchen.
Das Unternehmen nennt 74.82.197.86 und 38.54.50.151 als Quellen, von denen Angriffe beobachtet wurden. Es empfiehlt, diese Adressen zu blockieren und die Zugriffsprotokolle nach ihnen zu durchsuchen. Weitere Hinweise für die Untersuchung sind ungewöhnliche URL-ähnliche Pfadbestandteile, kodierte Zeichen, Verweise auf interne oder lokale Dienste und hohe Anfrageraten. Besteht der Verdacht auf eine Kompromittierung, rät Arista, Web-Zugriffs-, Anwendungs-, System- und Datenbank-Logs sowie relevante Dateisystem-Zeitstempel zu sichern, bevor die Behebung erfolgt, sofern dies betrieblich möglich ist.
Die Maßnahmen der US-Bundesbehörden umfassen die Prüfung auf Kompromittierung neben der Schadensbegrenzung. Beide Katalogeinträge verweisen auf BOD 26-04. Dessen Pflichten gelten für Behörden der zivilen Bundesexekutive (Federal Civilian Executive Branch) und berücksichtigen die Exponierung und das Risiko jedes Assets. Die forensische Triage-Anleitung der CISA verlangt, Beweismaterial vor Systemänderungen oder Patches zu sichern, soweit möglich. Bei beiden Einträgen ist eine Nutzung in Ransomware-Kampagnen als unbekannt vermerkt.
