CISA добавила в KEV уязвимости Collabora Online и Arista VeloCloud с активной эксплуатацией

Агентство CISA добавило две уязвимости в список KEV

Агентство по кибербезопасности и защите инфраструктуры США (CISA) внесло две уязвимости в реестр известных уязвимостей с активной эксплуатацией (KEV). Решение принято на основании сообщений об использовании уязвимостей злоумышленниками в реальных атаках. В список попали уязвимости в продуктах Collabora Online и Arista VeloCloud Orchestrator.

Collabora Online позволяет выполнять команды ОС, Arista VeloCloud дает доступ к функциям

Уязвимость CVE-2026-110447 (CVSS 9.2) находится в Collabora Online Built-in CODE Server, используемом в платформе Nextcloud. Она позволяет удаленно выполнить код через файл "proxy.php", если локальный сервер CODE не запущен. Уязвимость исправлена в версии 26.4.303, выпущенной в сентябре 2026 года. Злоумышленники используют CVE-2026-110447 для установки веб-шеллов на серверы Nextcloud. Цели атак включают сбор информации, поиск учетных данных и криптовалютных кошельков.

Уязвимость CVE-2026-114625 (CVSS 9.9) затрагивает локальные версии Arista VeloCloud Orchestrator (VCO). Она позволяет удаленному злоумышленнику получить доступ к привилегированным внутренним функциям. Для эксплуатации требуется сетевой доступ к веб-интерфейсу VCO и аутентифицированная сессия с ролью Enterprise Read Only. Уязвимость исправлена в версиях 5.2.3.18, 6.1.3.10 и 6.4.2.12, выпущенных в октябре 2026 года. Компания Arista подтвердила активную эксплуатацию, но не раскрыла детали атак и количество пострадавших организаций. Указаны два IP-адреса из Японии, связанные с атаками.

Уязвимости CVE-2026-110447 и CVE-2026-114625 требуют обновления

Уязвимость CVE-2026-114625 стала третьей в продукте Arista VeloCloud, эксплуатируемой в реальных атаках с июля 2026 года. Ранее были зафиксированы атаки с использованием CVE-2026-16812 (CVSS 10.0) и CVE-2026-93952 (CVSS 10.0). Агентство CISA рекомендует федеральным агентствам исполнительной власти устранить эти уязвимости до 26 октября 2026 года.

Установить обновления до 26 октября 2026 года

Федеральным агентствам исполнительной власти необходимо установить исправления для уязвимостей CVE-2026-110447 и CVE-2026-114625 до 26 октября 2026 года. Пользователям Collabora Online следует обновиться до версии 26.4.303. Пользователям Arista VeloCloud Orchestrator необходимо установить версии 5.2.3.18, 6.1.3.10 или 6.4.2.12.