CISA evidentirala aktivne napade na Collabora Online i VeloCloud
Američka Agencija za sajber bezbednost i bezbednost infrastrukture, CISA, dodala je u katalog poznatih zloupotrebljenih ranjivosti dve kritične greške: CVE-2026-110447 u Collabora Online Built-in CODE Serveru, sa ocenom CVSS 9,2, i CVE-2026-114625 u lokalno instaliranom Arista VeloCloud Orchestratoru, sa ocenom 9,9. Za oba propusta postoje prijave o aktivnoj zloupotrebi.
Ranjivost u Collabora Online okruženju
CVE-2026-110447 je ubrizgavanje komandi operativnog sistema u komponenti Collabora Online Built-in CODE Server, poznatoj i kao richdocumentscode, kada se koristi na platformi Nextcloud. Greška može omogućiti udaljeno izvršavanje koda preko datoteke proxy.php ako lokalni CODE dokumentni server nije pokrenut.
Propust je ispravljen u septembru 2026. izdanjem 26.4.303. Zabeleženi napadi koristili su ranjivost za postavljanje web školjke na Nextcloud servere, nakon čega su napadači obavljali izviđanje i tražili skladišta kredencijala, artefakte menadžera lozinki i novčanike za kriptovalute.
SQL injekcija u VeloCloud Orchestratoru
CVE-2026-114625 predstavlja SQL injekciju u lokalnim izdanjima Arista VeloCloud Orchestratora. Udaljeni napadač može steći pristup internim funkcijama sa privilegijama, ali su za uspešnu zloupotrebu potrebni mrežni pristup VCO veb interfejsu i važeća prijavljena sesija na VCO portalu.
Najniži potreban nivo ovlašćenja je Enterprise Read Only. Arista je potvrdila aktivnu zloupotrebu, ali nije navela odgovornu grupu, tehnički tok napada, radnje nakon eskalacije privilegija niti broj pogođenih organizacija. Kompanija je objavila dve IP adrese geolocirane u Japanu koje su povezane sa ovom aktivnošću.
Ispravke za VCO dostupne su u verzijama 5.2.3.18, 6.1.3.10 i 6.4.2.12. Ovo je treća ranjivost istog proizvoda koja je iskorišćena u napadima od jula 2026, posle CVE-2026-16812 i CVE-2026-93952, obe sa ocenom CVSS 10,0.
Praktični prioriteti za organizacije
Organizacije koje koriste Nextcloud sa ugrađenim CODE Serverom treba da utvrde da li rade na popravljenom izdanju i da provere servere na neovlašćene web školjke i neuobičajene aktivnosti. Administratori VCO-a treba da bez odlaganja primene odgovarajuće zakrpe, ograniče pristup administrativnom interfejsu i pregledaju aktivne sesije i dodeljene uloge.
Pošto CISA beleži aktivnu eksploataciju, ažuriranje zahteva i proveru mogućih znakova kompromitacije: samo instaliranje zakrpe zatvara poznati vektor, dok pregled sistema pomaže da se utvrdi da li je napad već ostavio tragove.