23 октября 2026 года агентство CISA внесло в каталог известных эксплуатируемых уязвимостей (KEV) две критические проблемы: CVE-2026-110447 в Collabora Online Built-in CODE Server для Nextcloud (CVSS 9.2) и CVE-2026-114625 в Arista VeloCloud Orchestrator (CVSS 9.9). Обе уязвимости подтверждённо эксплуатируются в дикой природе. Администраторам Nextcloud-инсталляций с модулем richdocumentscode и операторам локальных развёртываний VeloCloud Orchestrator необходимо немедленно установить доступные патчи. Федеральным гражданским агентствам США (FCEB), согласно исходному материалу, рекомендовано устранить уязвимости до 26 октября 2026 года.
CVE-2026-110447: инъекция команд ОС в Collabora Online CODE Server
Уязвимость CVE-2026-110447 представляет собой инъекцию команд операционной системы (CWE-78) в компоненте proxy.php модуля richdocumentscode — встроенного сервера CODE для платформы Nextcloud. Согласно записи CNA, уязвимость позволяет удалённое выполнение кода, когда локальный сервер документов CODE не запущен. Оценка CVSS 4.0 — 9.2 (критический уровень).
Принципиально важно: уязвимость затрагивает только развёртывания Nextcloud с модулем Built-in CODE Server (richdocumentscode), но не автономные серверы Collabora Online. Исправление выпущено в версии 26.4.303, о чём сообщается в рекомендации по безопасности проекта.
По данным отчёта об инциденте в репозитории проекта, в сентябре–октябре 2026 года зафиксирован одинаковый паттерн атак на нескольких независимых инсталляциях Nextcloud: злоумышленники устанавливали PHP-веб-шеллы, проводили разведку и целенаправленно искали хранилища учётных данных, артефакты менеджеров паролей и криптовалютные кошельки. Точное число пострадавших организаций не установлено.
CVE-2026-114625: SQL-инъекция в Arista VeloCloud Orchestrator
Уязвимость CVE-2026-114625 — SQL-инъекция (CWE-89) в локальных версиях Arista VeloCloud Orchestrator (VCO). Согласно рекомендации Arista, успешная эксплуатация позволяет удалённому атакующему получить доступ к привилегированной внутренней функциональности оркестратора. Оценка CVSS 3.1 — 9.9, CVSS 4.0 — 9.4 (критический уровень).
Затронутые версии:
- VCO 5.2.x до 5.2.3.18
- VCO 6.1.x до 6.1.3.10
- VCO 6.4.x до 6.4.2.12
Arista подтверждает, что уязвимость активно эксплуатируется. Для успешной атаки необходим сетевой доступ к веб-интерфейсу VCO и валидная аутентифицированная сессия на портале; минимальная требуемая роль — Enterprise Read Only. Несмотря на подтверждение эксплуатации, Arista не раскрыла атрибуцию к конкретной группировке, технические подробности постэксплуатации и количество пострадавших организаций.
Различия в профиле угроз
Две уязвимости существенно различаются по границам воздействия. CVE-2026-110447 не требует аутентификации и направлена на компонент, доступный из интернета, — proxy.php в Nextcloud. Это делает её пригодной для массовой эксплуатации, что подтверждается наблюдениями на множестве независимых инсталляций. CVE-2026-114625, напротив, требует аутентифицированной сессии на портале VCO, что сужает круг атакующих, но не снижает критичность: компрометация оркестратора SD-WAN потенциально даёт контроль над всей управляемой сетевой инфраструктурой.
Повторяющаяся проблема VeloCloud Orchestrator
CVE-2026-114625 — не изолированный инцидент. Это третья уязвимость в VeloCloud Orchestrator, подтверждённо эксплуатируемая в дикой природе и добавленная в каталог CISA KEV с июля 2026 года. Ранее были зафиксированы CVE-2026-16812 (CVSS 10.0, инъекция команд ОС, добавлена в KEV 27 июля) и CVE-2026-93952 (CVSS 10.0, некорректная валидация ввода, добавлена 22 сентября). Активная эксплуатация обеих подтверждена соответствующими рекомендациями Arista: Security Advisory 0144 и Security Advisory 0183. Мы уже писали об этих уязвимостях: CVE-2026-16812: критическая RCE в Arista VeloCloud Orchestrator и CVE-2026-93952: CVSS 10.0 в Arista VeloCloud Orchestrator.
Такая концентрация критических эксплуатируемых уязвимостей в одном продукте за четыре месяца указывает на системную проблему безопасности платформы. Организациям, использующим VCO On-Prem, следует рассматривать ситуацию не как серию отдельных патчей, а как повод для комплексного пересмотра безопасности развёртывания.
Индикаторы компрометации
Arista опубликовала IP-адреса, замеченные в атаках на CVE-2026-114625:
74.82.197[.]8638.54.50[.]151
Для CVE-2026-110447 доступны следующие индикаторы:
- IP:
139.28.18[.]122 - Домен:
webhook[.]site - Хеш:
4b9fbd0663fbfd6028fc216ed18e0d6ef3ae498a7fdc97083e4b0ce3cec40562 - Характерные URL-паттерны:
/apps/richdocumentscode/proxy.php?statusи/apps/richdocumentscode/proxy.php/apps/richdocumentscode/shx*.php
Эти индикаторы следует использовать для обнаружения и ретроспективного поиска в логах, но не для географической или групповой атрибуции атакующих — доступных данных для такой атрибуции недостаточно.
Рекомендации
Для Collabora Online CODE Server в Nextcloud:
- Обновить модуль richdocumentscode до версии 26.4.303 или новее
- Проверить логи веб-сервера на обращения к
proxy.phpс нетипичными параметрами - Провести поиск PHP-файлов с паттерном
shx*.phpв директории приложения - При обнаружении признаков компрометации — считать все учётные данные на сервере скомпрометированными
Для Arista VeloCloud Orchestrator On-Prem:
- Обновить VCO до версий 5.2.3.18, 6.1.3.10 или 6.4.2.12 соответственно
- Заблокировать указанные IP-адреса и проверить логи на обращения с них
- Провести аудит аутентифицированных сессий, особенно с ролью Enterprise Read Only — минимальной для эксплуатации
- Учитывая три эксплуатируемые уязвимости за четыре месяца, провести полную ревизию сетевой сегментации и контроля доступа к веб-интерфейсу VCO
Организациям с локальными развёртываниями VeloCloud Orchestrator необходимо не только установить патч для CVE-2026-114625, но и убедиться, что исправления для CVE-2026-16812 и CVE-2026-93952 также применены. Три критические уязвимости с подтверждённой эксплуатацией за короткий период требуют проактивного подхода: ограничения доступа к веб-интерфейсу VCO доверенными сетями, мониторинга аномальных SQL-запросов и ретроспективного анализа логов за период с июля 2026 года.
