Wprowadzenie do problemu / definicja
Amerykańska agencja CISA rozszerzyła katalog Known Exploited Vulnerabilities o dwie nowe podatności, które są już wykorzystywane w rzeczywistych atakach. Chodzi o krytyczne błędy w Collabora Online Built-in CODE Server używanym z Nextcloud oraz w Arista VeloCloud Orchestrator, co oznacza wysoki priorytet remediacji dla administratorów i zespołów bezpieczeństwa.
W skrócie
- CISA dodała do KEV podatności CVE-2026-110447 i CVE-2026-114625.
- CVE-2026-110447 dotyczy wstrzyknięcia komend systemowych w Collabora Online Built-in CODE Server.
- CVE-2026-114625 to krytyczna podatność SQL injection w Arista VeloCloud Orchestrator.
- Obie luki są aktywnie wykorzystywane, dlatego wymagają pilnego wdrożenia poprawek i weryfikacji środowiska pod kątem oznak kompromitacji.
Kontekst / historia
Katalog KEV pełni dziś ważną rolę w priorytetyzacji działań naprawczych, ponieważ obejmuje wyłącznie podatności z potwierdzonym wykorzystaniem przez atakujących. Wpisanie danej luki do tego zestawienia oznacza, że organizacje nie powinny traktować jej jako ryzyka czysto teoretycznego, lecz jako bezpośrednie zagrożenie operacyjne.
W przypadku Collabora Online problem wpisuje się w rosnącą falę ataków na komponenty rozszerzające platformy do współpracy i przechowywania dokumentów. Z kolei luka w Arista VeloCloud Orchestrator pokazuje, że infrastruktura zarządzająca siecią i środowiskami SD-WAN nadal pozostaje atrakcyjnym celem dla napastników, zwłaszcza gdy może zapewnić dostęp do funkcji administracyjnych i wrażliwych ustawień sieciowych.
Analiza techniczna
CVE-2026-110447 dotyczy aplikacji richdocumentscode, czyli Built-in CODE Server dla Nextcloud. Podatność została sklasyfikowana jako operating system command injection i może prowadzić do zdalnego wykonania kodu przez endpoint „proxy.php”, jeśli lokalny serwer CODE nie jest uruchomiony. W praktyce atakujący może uzyskać możliwość wykonywania poleceń na serwerze, co znacząco zwiększa ryzyko przejęcia hosta.
Dostępne informacje wskazują, że luka była wykorzystywana do osadzania webshelli na serwerach Nextcloud. Taki mechanizm daje napastnikom trwały dostęp, umożliwia dalszy rekonesans, wyszukiwanie poświadczeń oraz przygotowanie kolejnych etapów kompromitacji. Poprawka została udostępniona we wrześniu 2026 roku w wersji 26.4.303.
CVE-2026-114625 dotyczy lokalnie wdrażanych wersji Arista VeloCloud Orchestrator i została oceniona bardzo wysoko pod względem ryzyka. Jest to podatność SQL injection, która może umożliwić zdalnemu atakującemu dostęp do uprzywilejowanych funkcji wewnętrznych systemu. Do skutecznego wykorzystania wymagany jest dostęp do interfejsu webowego oraz ważna sesja uwierzytelniona, jednak minimalny poziom uprawnień ogranicza się do roli Enterprise Read Only, co obniża próg wejścia dla ataku.
Producent wskazał poprawione wersje 5.2.3.18, 6.1.3.10 oraz 6.4.2.12. Z punktu widzenia obrony kluczowe jest zrozumienie, że nawet konto o ograniczonych uprawnieniach może stać się punktem startowym do dalszej eskalacji dostępu w systemie orkiestracji SD-WAN.
Konsekwencje / ryzyko
Najpoważniejszym skutkiem wykorzystania CVE-2026-110447 jest możliwość przejęcia serwera obsługującego Nextcloud i utrzymania dostępu za pomocą webshella. Taki scenariusz może prowadzić do wycieku danych, kradzieży poświadczeń, ruchu bocznego w sieci oraz użycia hosta jako platformy do dalszych działań ofensywnych.
W przypadku CVE-2026-114625 ryzyko skupia się wokół płaszczyzny zarządzania siecią. Kompromitacja VeloCloud Orchestrator może skutkować dostępem do krytycznych funkcji administracyjnych, modyfikacją konfiguracji, zmianą polityk routingu oraz dalszym naruszeniem integralności środowiska sieciowego. To szczególnie niebezpieczne w organizacjach, gdzie platforma odpowiada za zarządzanie rozproszoną infrastrukturą.
W obu przypadkach najważniejsze jest to, że nie mówimy wyłącznie o wysokiej punktacji CVSS, lecz o lukach aktywnie wykorzystywanych w atakach. Taki status istotnie podnosi poziom ryzyka i wymaga natychmiastowej reakcji.
Rekomendacje
Organizacje korzystające z Nextcloud z komponentem richdocumentscode powinny niezwłocznie sprawdzić, czy ich środowisko obejmuje podatne wersje Built-in CODE Server, a następnie wdrożyć dostępne poprawki. Równolegle warto przeprowadzić hunting pod kątem śladów kompromitacji, w tym nieautoryzowanych plików PHP, podejrzanych żądań do „proxy.php”, nowych zadań systemowych oraz nietypowych połączeń wychodzących inicjowanych przez serwer WWW.
W środowiskach Arista VeloCloud Orchestrator konieczne jest pilne przejście na poprawione wersje oprogramowania. Dodatkowo należy przeanalizować logi dostępu do interfejsu webowego, zweryfikować konta z rolą Enterprise Read Only, rozważyć rotację poświadczeń dla kont o podwyższonych uprawnieniach oraz sprawdzić anomalie, które mogą wskazywać na próby SQL injection.
- zaktualizować rejestr zasobów i potwierdzić, które instancje są wystawione na atak,
- zweryfikować reguły EDR, WAF i systemów detekcji pod kątem obu CVE,
- przeprowadzić kontrolę integralności plików aplikacyjnych,
- sprawdzić, czy nie doszło do kradzieży tokenów, sekretów i danych sesyjnych,
- ograniczyć dostęp do paneli administracyjnych przez segmentację, MFA i ścisłe reguły źródłowe,
- przygotować procedurę odtworzeniową dla systemów, w których wykryto trwałą kompromitację.
Podsumowanie
Dodanie CVE-2026-110447 i CVE-2026-114625 do katalogu KEV potwierdza, że administratorzy mają do czynienia z realnym zagrożeniem, a nie hipotetycznym scenariuszem. W praktyce oznacza to konieczność szybkiego łatania, aktywnego poszukiwania oznak naruszenia oraz ograniczania ekspozycji usług zarządzających i paneli administracyjnych, zanim atakujący wykorzystają te luki do dalszej kompromitacji środowiska.
Źródła
- The Hacker News — https://thehackernews.com/2026/10/cisa-flags-two-actively-exploited.html
- NVD: CVE-2026-110447 — https://nvd.nist.gov/vuln/detail/CVE-2026-110447
- Canadian Centre for Cyber Security — Arista Networks security advisory (AV26-1080) — https://www.cyber.gc.ca/en/alerts-advisories/arista-networks-security-advisory-av26-1080
- BleepingComputer — Hackers exploit Collabora RCE flaw to backdoor Nextcloud servers — https://www.bleepingcomputer.com/news/security/hackers-exploit-collabora-rce-flaw-to-backdoor-nextcloud-servers/
- Arista Security Advisory 0144 — https://www.arista.com/en/support/advisories-notices/security-advisory/24364-security-advisory-0144