CISA добавила в список эксплуатируемых уязвимостей дыры в Collabora Online и Arista VeloCloud

Американское Агентство по кибербезопасности и защите инфраструктуры (CISA) в пятницу добавило в свой каталог известных эксплуатируемых уязвимостей (Known Exploited Vulnerabilities, KEV) две бреши — в Collabora Online Built-in CODE Server и в Arista VeloCloud Orchestrator (VCO). Поводом стали сообщения об их активной эксплуатации «в дикой природе».

Две критические бреши

Первая — CVE-2026-110447 (CVSS 9.2) — это уязвимость внедрения команд операционной системы в компоненте Collabora Online Built-in CODE Server (он же richdocumentscode) при использовании его в составе платформы NextCloud. Она позволяет выполнить произвольный код удалённо через proxy.php, когда локальный сервер документов CODE не запущен. Исправление вышло в сентябре 2026 года в версии 26.4.303.

Вторая — CVE-2026-114625 (CVSS 9.9) — SQL-инъекция в локальных (on-premise) версиях Arista VeloCloud Orchestrator, дающая удалённому атакующему доступ к привилегированной внутренней функциональности. Её закрыли в октябре 2026 года в версиях 5.2.3.18, 6.1.3.10 и 6.4.2.12.

Как это используют

По данным The Hacker News, злоумышленники эксплуатируют CVE-2026-110447, чтобы установить веб-шелл на серверы Nextcloud. Затем они проводят разведку и ищут хранилища учётных данных, артефакты менеджеров паролей и криптовалютные кошельки.

Для эксплуатации CVE-2026-114625 атакующему требуется сетевой доступ к веб-интерфейсу VCO и действующая аутентифицированная сессия на портале. Минимально достаточная роль пользователя — Enterprise Read Only.

Arista признала, что уязвимость «известна как активно эксплуатируемая», однако не связала активность с конкретной группировкой и не раскрыла технических деталей — ни как именно идёт эксплуатация, ни что атакующие делают после повышения привилегий. Число пострадавших организаций компания также не назвала. При этом Arista указала два IP-адреса с геолокацией в Японии, с которых ведётся активность: 74.82.197[.]86 и 38.54.50[.]151.

CVE-2026-114625 — уже третья уязвимость в этом продукте, использованная в атаках с июля 2026 года, после CVE-2026-16812 и CVE-2026-93952 (обе с оценкой CVSS 10.0).

Учитывая активную эксплуатацию, федеральным гражданским ведомствам США (FCEB) предписано установить исправления до 26 октября 2026 года.

Источник: The Hacker News