CISA предупредила об атаках на Collabora Online и Arista VeloCloud

Агентство CISA внесло в каталог Known Exploited Vulnerabilities две критические уязвимости, которые уже используются в атаках: CVE-2026-110447 с оценкой CVSS 9,2 в Collabora Online Built-in CODE Server и CVE-2026-114625 с оценкой 9,9 в Arista VeloCloud Orchestrator. Исправление для первой проблемы вошло в Collabora Online 26.4.303, для второй — в версии VCO 5.2.3.18, 6.1.3.10 и 6.4.2.12.

Атаки на Nextcloud через встроенный CODE Server

CVE-2026-110447 представляет собой внедрение команд операционной системы в компоненте Collabora Online Built-in CODE Server, также известном как richdocumentscode. Уязвимость проявляется при использовании компонента в платформе Nextcloud.

Удалённое выполнение кода возможно через файл proxy.php, когда локальный сервер документов CODE не запущен. Collabora исправила проблему в сентябре 2026 года, выпустив версию 26.4.303.

Наблюдаемые атаки уже привели к установке веб-шеллов на серверах Nextcloud. После закрепления злоумышленники проводили разведку и искали хранилища учётных данных, артефакты менеджеров паролей и криптовалютные кошельки.

SQL-инъекция в Arista VeloCloud Orchestrator

CVE-2026-114625 затрагивает локально развёрнутые экземпляры Arista VeloCloud Orchestrator. Ошибка SQL-инъекции может дать удалённому атакующему доступ к привилегированной внутренней функциональности VCO.

Для успешной эксплуатации необходимы сетевой доступ к веб-интерфейсу VCO, действующая аутентифицированная сессия в портале и как минимум роль Enterprise Read Only. Arista подтвердила активную эксплуатацию, но не назвала атакующую группу, не раскрыла техническую схему атак и не сообщила число затронутых организаций.

Компания опубликовала два IP-адреса, геолокированные в Японии, которые связывает с этой активностью: 74.82.197[.]86 и 38.54.50[.]151. CVE-2026-114625 стала третьей уязвимостью VCO, использованной в реальных атаках с июля 2026 года: ранее были зафиксированы CVE-2026-16812 и CVE-2026-93952, обе с оценкой CVSS 10,0.

Что проверить администраторам

Федеральным гражданским ведомствам США CISA рекомендовало закрыть обе проблемы до 26 октября 2026 года. Организациям с Collabora и Nextcloud стоит проверить установку версии 26.4.303 и признаки веб-шеллов на серверах. Владельцам локальных VCO необходимо обновиться до исправленной ветки, проверить доступ к веб-порталу и активные сессии с ролью Enterprise Read Only. При подтверждённой эксплуатации обновление следует рассматривать как первоочередную меру защиты.