Американската Агенция за киберсигурност и сигурност на инфраструктурата (CISA) в петък добави две уязвимости, засягащи Collabora Online Built-in CODE Server и Arista VeloCloud Orchestrator (VCO), към своя каталог с известни експлоатирани уязвимости (KEV), позовавайки се на данни за активна експлоатация в реални условия.

Уязвимостите с критична степен на опасност са следните:

  • CVE-2026-110447 (CVSS оценка: 9.2) – Уязвимост за инжектиране на команди в операционната система в Collabora Online – Built-in CODE Server (известен още като richdocumentscode), когато се използва в платформата NextCloud, която би могла да позволи отдалечено изпълнение на код чрез „proxy.php“, когато локалният сървър за документи CODE не работи. (Коригирана през септември 2026 г. във версия 26.4.303)
  • CVE-2026-114625 (CVSS оценка: 9.9) – Уязвимост за SQL инжекция в локално инсталираните (on-premise) версии на Arista VeloCloud Orchestrator, която би могла да позволи на отдалечен атакуващ да получи достъп до привилегирована вътрешна функционалност. (Коригирана през октомври 2026 г. във версии 5.2.3.18, 6.1.3.10 и 6.4.2.12)

Както съобщава The Hacker News, наблюдава се как атакуващи експлоатират CVE-2026-110447, за да внедрят задна врата (backdoor) в Nextcloud сървъри чрез уеб шел (web shell) с цел разузнаване и търсене на хранилища за идентификационни данни, артефакти от мениджъри на пароли и портфейли за криптовалута.

Що се отнася до CVE-2026-114625, успешната експлоатация изисква атакуващият да има мрежов достъп до уеб интерфейса на VCO и валидна автентикирана сесия в портала на VCO. Минималната необходима потребителска роля е Enterprise Read Only.

Въпреки че Arista призна, че уязвимостта е „известно, че се експлоатира активно“, тя не свързва дейността с конкретен автор на заплахата, нито предоставя технически подробности за начина на експлоатиране или за действията на атакуващите след ескалацията на привилегии. Компанията също така не разкрива броя на засегнатите организации.

Въпреки това тя сподели два IP адреса, локализирани в Япония, като отговорни за активността:

  • 74.82.197[.]86
  • 38.54.50[.]151

CVE-2026-114625 е третата уязвимост в същия продукт, използвана като оръжие в реална среда от юли 2026 г. насам, след CVE-2026-16812 (CVSS оценка: 10.0) и CVE-2026-93952 (CVSS оценка: 10.0).

С оглед на активната експлоатация, на федералните цивилни агенции на изпълнителната власт (FCEB) се препоръчва да инсталират корекциите за сигурност до 26 октомври 2026 г., за да защитят своите мрежи.