Deux vulnérabilités activement exploitées, touchant le serveur de documents intégré à Nextcloud, Collabora, et VeloCloud Orchestrator d'Arista, figurent désormais dans le catalogue des vulnérabilités connues et exploitées (KEV) de la CISA. Elles sont assorties de délais de remédiation fixés au 26 octobre 2026 et d'exigences de tri forensique.
Le catalogue de la CISA enregistre l'ajout, le 23 octobre, de CVE-2026-110447 et CVE-2026-114625. Leurs conditions d'exploitation diffèrent : la faille de Collabora permet l'exécution de commandes sans authentification lorsque son serveur de documents est arrêté, tandis que la faille de VeloCloud permet à un utilisateur authentifié du portail d'obtenir des privilèges d'opérateur.
L'application Nextcloud exige une mise à niveau ou une suppression
Pour les administrateurs de Nextcloud, la simple désactivation de l'application Collabora Online – Built-in CODE Server ne corrige pas CVE-2026-110447. La solution consiste à supprimer l'application ou à mettre à jour richdocumentscode vers la version 26.4.303 ou ultérieure, selon l'avis de Collabora du 14 octobre.
Les versions antérieures à la 26.4.303 contiennent une vulnérabilité d'injection de commandes système d'exploitation dans proxy.php. Sans authentification, un attaquant peut envoyer une requête qui exécute une commande avec les droits de l'utilisateur du serveur web. Collabora classe la faille comme critique, avec un score CVSS v4 de 9,2.
La condition nécessaire est que le serveur CODE intégré ait cessé de fonctionner. Un redémarrage de conteneur, une mise à niveau ou un plantage peuvent créer cette occasion. Les serveurs Collabora Online autonomes ne font pas partie du périmètre concerné.
Collabora demande par ailleurs aux utilisateurs des versions de Nextcloud en fin de vie, à savoir la version 29 et les versions antérieures, de mettre à niveau Nextcloud ou de supprimer l'application. L'éditeur prévient aussi que le correctif de CVE-2025-66208 ne bloque pas cette attaque, car les vulnérabilités empruntent des chemins différents.
Les conséquences vont au-delà de la simple exécution de commandes. The Hacker News rapporte que des attaquants ont utilisé CVE-2026-110447 pour déposer des web shells sur des serveurs Nextcloud, puis pour mener des opérations de reconnaissance et rechercher des magasins d'identifiants, des traces de gestionnaires de mots de passe et des portefeuilles de cryptomonnaies.
Les correctifs VeloCloud dépendent du déploiement et de la branche de version
La réponse d'Arista distingue les installations de VeloCloud Orchestrator gérées par le client des services hébergés. Selon l'entreprise, les déploiements hébergés, y compris les instances Dedicated, étaient vulnérables, mais ont déjà reçu des correctifs.
Pour les VCO sur site, l'avis de sécurité 0199 d'Arista précise les limites de mise à niveau suivantes :
- 5.2.x : les versions antérieures à 5.2.3.18 sont touchées ; les correctifs commencent à la 5.2.3.18 dans la branche 5.2.
- 6.1.x : les versions antérieures à 6.1.3.10 sont touchées ; les correctifs commencent à la 6.1.3.10 dans la branche 6.1.
- 6.4.x : les versions antérieures à 6.4.2.12 sont touchées ; les correctifs commencent à la 6.4.2.12 dans la branche 6.4.
Les versions en fin de support n'ont pas été évaluées. Les clients hors des branches de version prises en charge peuvent contacter le Technical Assistance Center d'Arista pour connaître les options de mise à niveau. VeloCloud Edge et VeloCloud Gateway ne sont pas concernés.
Publié le 22 octobre, l'avis indique qu'Arista a détecté CVE-2026-114625 et sait qu'elle est activement exploitée. La faille d'injection SQL obtient un score de 9,9 selon CVSS v3.1 et de 9,4 selon CVSS v4.0.
L'exploitation nécessite à la fois un accès réseau à l'interface web de VCO et une session valide authentifiée sur le portail. Même le rôle Enterprise Read Only, le plus bas des rôles de locataire intégrés, suffit à fournir l'accès nécessaire. Un attaquant peut obtenir des privilèges d'opérateur, se faire passer pour un « superuser operator » local et accéder à des fonctionnalités réservées à un usage interne. Selon Arista, l'accès ainsi obtenu peut compromettre la confidentialité, l'intégrité et la disponibilité de l'orchestrateur et des données qu'il gère, et affecter l'hôte VCO.
Arista décrit VCO comme exposé par défaut et affirme qu'aucune configuration ne permet d'éviter cette exposition. En attendant une mise à niveau, l'entreprise recommande de limiter l'accès à l'interface web aux réseaux d'administration de confiance, de vérifier la présence de trafic sortant inattendu, de démons de porte dérobée et de web shells, et d'examiner l'activité récente des administrateurs.
L'entreprise identifie 74.82.197.86 et 38.54.50.151 comme des sources observées dans des attaques. Elle recommande de bloquer ces adresses et de rechercher leur présence dans les journaux d'accès. Parmi les autres indices à surveiller figurent les composants de chemin d'apparence inhabituelle, proches d'une URL, les caractères encodés, les références à des services internes ou locaux et les taux de requêtes élevés. En cas de compromission suspectée, Arista conseille de conserver les journaux de l'accès web, de l'application backend, du système et de la base de données, ainsi que les horodatages pertinents du système de fichiers, avant toute remédiation lorsque cela est opérationnellement possible.
La réponse fédérale associe la recherche de compromission à l'atténuation. Les deux entrées du catalogue invoquent la directive BOD 26-04, dont les obligations s'appliquent aux agences de l'exécutif civil fédéral et tiennent compte de l'exposition et du risque propres à chaque actif. Les consignes de tri forensique de la CISA demandent de préserver les preuves avant toute modification du système ou tout correctif, dans la mesure du possible. Les deux entrées indiquent que l'utilisation dans des campagnes de ransomware est inconnue.
