Due vulnerabilità sfruttate attivamente, che interessano il server documentale integrato di Nextcloud, Collabora, e VeloCloud Orchestrator di Arista, compaiono ora nel catalogo delle vulnerabilità note sfruttate (KEV) della CISA, con scadenze per la correzione fissate al 26 ottobre 2026 e requisiti di triage forense.
Il catalogo CISA registra le aggiunte del 23 ottobre per CVE-2026-110447 e CVE-2026-114625. Le condizioni di sfruttamento sono diverse: la falla di Collabora consente l'esecuzione di comandi senza autenticazione mentre il suo server documentale è arrestato; la falla di VeloCloud permette a un utente autenticato del portale di ottenere privilegi di operatore.
L'app Nextcloud richiede un aggiornamento o la rimozione
Per gli amministratori di Nextcloud, semplicemente disattivare l'app Collabora Online – Built-in CODE Server non risolve CVE-2026-110447. La soluzione è rimuovere l'app oppure aggiornare richdocumentscode alla versione 26.4.303 o successiva, secondo l'avviso di Collabora del 14 ottobre.
Le versioni precedenti alla 26.4.303 contengono una vulnerabilità di command injection del sistema operativo in proxy.php. Senza autenticarsi, un attaccante può inviare una richiesta che esegue un comando con i permessi dell'utente del server web. Collabora classifica la falla come critica, con un punteggio CVSS v4 di 9,2.
La condizione necessaria è che il server CODE integrato si sia arrestato. Un riavvio del container, un aggiornamento o un crash possono creare questa opportunità. I server Collabora Online autonomi non rientrano nel perimetro interessato.
Collabora invita inoltre gli utenti delle versioni di Nextcloud fuori supporto, la 29 e le precedenti, ad aggiornare Nextcloud o a rimuovere l'app. Avverte anche che la patch per CVE-2025-66208 non blocca questo attacco, perché le due vulnerabilità coinvolgono percorsi diversi.
Le conseguenze vanno oltre la possibilità di eseguire comandi. Secondo quanto riporta The Hacker News, gli attaccanti hanno usato CVE-2026-110447 per installare web shell sui server Nextcloud, per poi svolgere attività di ricognizione e cercare archivi di credenziali, artefatti di password manager e wallet di criptovalute.
Le correzioni per VeloCloud dipendono dall'installazione e dal ramo di rilascio
La risposta di Arista distingue tra le installazioni di VeloCloud Orchestrator gestite dal cliente e i servizi hosted. Secondo l'azienda, le installazioni hosted, comprese le istanze Dedicated, erano vulnerabili ma hanno già ricevuto le patch.
Per VCO on-premises, l'avviso di sicurezza 0199 di Arista indica questi limiti di aggiornamento:
- 5.2.x: sono interessate le versioni precedenti alla 5.2.3.18; le correzioni partono dalla 5.2.3.18 nel ramo 5.2.
- 6.1.x: sono interessate le versioni precedenti alla 6.1.3.10; le correzioni partono dalla 6.1.3.10 nel ramo 6.1.
- 6.4.x: sono interessate le versioni precedenti alla 6.4.2.12; le correzioni partono dalla 6.4.2.12 nel ramo 6.4.
Le versioni fuori supporto non sono state valutate. I clienti che si trovano su rami di rilascio non più supportati possono contattare il Technical Assistance Center di Arista per le opzioni di aggiornamento. VeloCloud Edge e VeloCloud Gateway non sono interessati.
Pubblicato il 22 ottobre, l'avviso afferma che Arista ha rilevato CVE-2026-114625 ed è a conoscenza di sfruttamenti attivi. La falla di SQL injection ha un punteggio di 9,9 secondo CVSS v3.1 e di 9,4 secondo CVSS v4.0.
Lo sfruttamento richiede sia la connettività all'interfaccia web di VCO sia una sessione valida autenticata sul portale. Anche il ruolo Enterprise Read Only, il più basso tra i ruoli tenant integrati, offre un accesso sufficiente. Un attaccante può ottenere privilegi di operatore, impersonare un «superuser operator» locale e raggiungere funzionalità destinate esclusivamente all'uso interno. Arista afferma che l'accesso ottenuto potrebbe compromettere riservatezza, integrità e disponibilità dell'orchestratore e dei dati gestiti, oltre a incidere sull'host VCO.
Arista descrive VCO come esposto per impostazione predefinita e afferma che nessuna configurazione impedisce questa esposizione. In attesa dell'aggiornamento, raccomanda di limitare l'accesso all'interfaccia web alle reti amministrative fidate, verificare la presenza di traffico in uscita inatteso, daemon backdoor e web shell, ed esaminare l'attività recente degli amministratori.
L'azienda indica come fonti di attacchi osservati 74.82.197.86 e 38.54.50.151. Raccomanda di bloccare questi indirizzi e di cercarli nei log di accesso. Altri segnali da verificare includono componenti di percorso simili a URL insoliti, caratteri codificati, riferimenti a servizi interni o locali e frequenze elevate di richieste. Se si sospetta una compromissione, Arista consiglia di conservare i log di accesso web, dell'applicazione backend, di sistema e del database, insieme ai timestamp rilevanti del file system, prima della bonifica, quando operativamente fattibile.
La risposta federale prevede di verificare la presenza di compromissioni insieme alla mitigazione. Entrambe le voci del catalogo richiamano la BOD 26-04, i cui obblighi si applicano alle agenzie del Federal Civilian Executive Branch e tengono conto dell'esposizione e del rischio di ciascun asset. Le linee guida CISA per il triage forense chiedono di preservare le prove prima di modifiche ai sistemi o di patch, ove possibile. Per entrambe le voci, l'uso in campagne ransomware è indicato come sconosciuto.
