Dos vulnerabilidades explotadas activamente, que afectan al servidor de documentos integrado de Nextcloud (Collabora) y a Arista VeloCloud Orchestrator, figuran ahora en el catálogo de Vulnerabilidades Explotadas Conocidas de CISA, con plazos de remediación del 26 de octubre de 2026 y requisitos de triaje forense.
Catálogo de CISA registra la incorporación, el 23 de octubre, de CVE-2026-110447 y CVE-2026-114625. Sus requisitos de explotación difieren: la falla de Collabora permite la ejecución de comandos sin autenticación mientras su servidor de documentos está detenido; la de VeloCloud permite a un usuario autenticado del portal obtener privilegios de operador.
La aplicación de Nextcloud requiere actualización o eliminación
En el caso de los administradores de Nextcloud, desactivar simplemente la aplicación Collabora Online – Built-in CODE Server no soluciona CVE-2026-110447. La solución consiste en eliminar la aplicación o actualizar richdocumentscode a la versión 26.4.303 o posterior, según el aviso de Collabora del 14 de octubre.
Las versiones anteriores a 26.4.303 contienen una vulnerabilidad de inyección de comandos del sistema operativo en proxy.php. Sin autenticarse, un atacante puede enviar una solicitud que ejecute un comando con los permisos del usuario del servidor web. Collabora clasifica la vulnerabilidad como crítica, con una puntuación CVSS v4 de 9,2.
La condición necesaria es que el servidor CODE integrado haya dejado de funcionar. Un reinicio del contenedor, una actualización o un fallo pueden crear esa oportunidad. Los servidores Collabora Online independientes quedan fuera del alcance afectado.
Por otro lado, Collabora indica a los usuarios de las versiones de Nextcloud 29 y anteriores, que han llegado al fin de su vida útil, que actualicen Nextcloud o eliminen la aplicación. Además, advierte de que el parche de CVE-2025-66208 no bloquea este ataque, porque las vulnerabilidades involucran rutas distintas.
Las consecuencias van más allá de la ejecución de comandos. The Hacker News informa de que los atacantes han usado CVE-2026-110447 para instalar web shells en servidores de Nextcloud y, después, llevar a cabo labores de reconocimiento y buscar almacenes de credenciales, artefactos de gestores de contraseñas y monederos de criptomonedas.
Las correcciones de VeloCloud dependen de la implementación y de la rama de lanzamiento
La respuesta de Arista distingue entre las instalaciones de VeloCloud Orchestrator gestionadas por el cliente y los servicios alojados. Según la empresa, las implementaciones alojadas, incluidas las instancias Dedicated, eran vulnerables, pero ya han recibido parches.
Para VCO local, el Aviso de seguridad 0199 de Arista especifica estos límites de actualización:
- 5.2.x: las versiones anteriores a 5.2.3.18 están afectadas; las correcciones comienzan en 5.2.3.18 dentro de la rama 5.2.
- 6.1.x: las versiones anteriores a 6.1.3.10 están afectadas; las correcciones comienzan en 6.1.3.10 dentro de la rama 6.1.
- 6.4.x: las versiones anteriores a 6.4.2.12 están afectadas; las correcciones comienzan en 6.4.2.12 dentro de la rama 6.4.
Las versiones fuera de soporte no han sido evaluadas. Los clientes que estén fuera de las ramas de lanzamiento compatibles pueden contactar con el Centro de Asistencia Técnica de Arista para conocer las opciones de actualización. VeloCloud Edge y VeloCloud Gateway no están afectados.
Publicado el 22 de octubre, el aviso indica que Arista detectó CVE-2026-114625 y sabe que se está explotando activamente. La vulnerabilidad de inyección SQL obtiene una puntuación de 9,9 con CVSS v3.1 y de 9,4 con CVSS v4.0.
La explotación requiere tanto conectividad con la interfaz web de VCO como una sesión válida y autenticada en el portal. Incluso el rol Enterprise Read Only, el rol de inquilino integrado de menor nivel, proporciona acceso suficiente. Un atacante puede escalar a privilegios de operador, suplantar a un «superuser operator» local y acceder a funciones pensadas únicamente para uso interno. Arista afirma que el acceso resultante puede comprometer la confidencialidad, la integridad y la disponibilidad del orquestador y de los datos que gestiona, además de afectar al host de VCO.
Arista describe VCO como expuesto por defecto y afirma que ninguna configuración impide esa exposición. Mientras no se actualice, recomienda limitar el acceso a la interfaz web a redes administrativas de confianza, comprobar si hay tráfico saliente inesperado, daemons de puerta trasera y webshells, y revisar la actividad reciente de los administradores.
La empresa identifica 74.82.197.86 y 38.54.50.151 como orígenes observados realizando ataques. Recomienda bloquear esas direcciones y buscarlas en los registros de acceso. Otras señales de investigación incluyen componentes de ruta con aspecto de URL inusuales, caracteres codificados, referencias a servicios internos o locales y tasas altas de solicitudes. Cuando se sospeche de un compromiso, Arista aconseja conservar los registros de acceso web, de la aplicación backend, del sistema y de la base de datos, junto con las marcas de tiempo relevantes del sistema de archivos, antes de la remediación, siempre que sea operativamente viable.
La respuesta federal incluye comprobar si hay compromiso junto con la mitigación. Ambas entradas del catálogo invocan la BOD 26-04, cuyas obligaciones se aplican a las agencias del Poder Ejecutivo Civil Federal y tienen en cuenta la exposición y el riesgo de cada activo. La guía de triaje forense de CISA recomienda preservar las pruebas antes de cambiar los sistemas o aplicar parches, siempre que sea posible. Ambas entradas indican que el uso en campañas de ransomware es desconocido.
