Zwei kritische Schwachstellen in Collabora Online und Arista VeloCloud werden aktiv ausgenutzt

Am 23. Oktober 2026 hat die Behörde CISA zwei kritische Schwachstellen in den Katalog der bekannt ausgenutzten Schwachstellen (KEV) aufgenommen: CVE-2026-110447 in Collabora Online Built-in CODE Server für Nextcloud (CVSS 9.2) und CVE-2026-114625 in Arista VeloCloud Orchestrator (CVSS 9.9). Für beide Schwachstellen ist die Ausnutzung in freier Wildbahn bestätigt. Administratoren von Nextcloud-Installationen mit dem Modul richdocumentscode und Betreiber lokaler VeloCloud-Orchestrator-Deployments müssen die verfügbaren Patches umgehend einspielen. Den zivilen US-Bundesbehörden (FCEB) wird laut Ausgangsmaterial empfohlen, die Schwachstellen bis zum 26. Oktober 2026 zu beheben.

CVE-2026-110447: OS command injection in Collabora Online CODE Server

Die Schwachstelle CVE-2026-110447 ist eine OS command injection (CWE-78) in der Komponente proxy.php des Moduls richdocumentscode – des integrierten CODE-Servers für die Plattform Nextcloud. Laut CNA-Eintrag ermöglicht die Schwachstelle Remote Code Execution, wenn der lokale CODE-Dokumentenserver nicht gestartet ist. Die CVSS-4.0-Bewertung liegt bei 9.2 (kritisch).

Wesentlich ist: Die Schwachstelle betrifft nur Nextcloud-Deployments mit dem Modul Built-in CODE Server (richdocumentscode), nicht jedoch eigenständige Collabora-Online-Server. Die Korrektur wurde in Version 26.4.303 veröffentlicht, wie im Sicherheitshinweis des Projekts angegeben.

Nach Angaben des Vorfallsberichts im Projekt-Repository wurde im Zeitraum September–Oktober 2026 auf mehreren unabhängigen Nextcloud-Installationen dasselbe Angriffsmuster beobachtet: Angreifer installierten PHP-Webshells, führten Reconnaissance durch und suchten gezielt nach Credential-Speichern, Artefakten von Passwort-Managern und Kryptowallets. Die genaue Zahl der betroffenen Organisationen ist nicht bekannt.

CVE-2026-114625: SQL injection in Arista VeloCloud Orchestrator

Die Schwachstelle CVE-2026-114625 ist eine SQL injection (CWE-89) in lokalen Versionen von Arista VeloCloud Orchestrator (VCO). Laut Arista-Sicherheitshinweis ermöglicht eine erfolgreiche Ausnutzung einem entfernten Angreifer den Zugriff auf privilegierte interne Funktionalität des Orchestrators. Die Bewertung nach CVSS 3.1 liegt bei 9.9, nach CVSS 4.0 bei 9.4 (kritisch).

Betroffene Versionen:

• VCO 5.2.x bis 5.2.3.18 (ausschließlich)
• VCO 6.1.x bis 6.1.3.10 (ausschließlich)
• VCO 6.4.x bis 6.4.2.12 (ausschließlich)

Arista bestätigt, dass die Schwachstelle aktiv ausgenutzt wird. Für einen erfolgreichen Angriff sind Netzwerkzugriff auf das VCO-Webinterface und eine gültige authentifizierte Sitzung im Portal erforderlich; die minimale benötigte Rolle ist Enterprise Read Only. Trotz der bestätigten Ausnutzung hat Arista weder eine Zuordnung zu einer bestimmten Gruppe noch technische Details zur Post-Exploitation oder die Zahl der betroffenen Organisationen offengelegt.

Unterschiede im Bedrohungsprofil

Die beiden Schwachstellen unterscheiden sich wesentlich hinsichtlich ihres Wirkungsspektrums. CVE-2026-110447 erfordert keine Authentifizierung und zielt auf eine aus dem Internet erreichbare Komponente ab – proxy.php in Nextcloud. Dadurch eignet sie sich für eine massenhafte Ausnutzung, was durch Beobachtungen auf zahlreichen unabhängigen Installationen bestätigt wird. CVE-2026-114625 hingegen erfordert eine authentifizierte Sitzung im VCO-Portal, was den Kreis der Angreifer einschränkt, die Kritikalität jedoch nicht mindert: Eine Kompromittierung des SD-WAN-Orchestrators kann potenziell die Kontrolle über die gesamte verwaltete Netzwerkinfrastruktur ermöglichen.

Wiederkehrendes Problem bei VeloCloud Orchestrator

CVE-2026-114625 ist kein isolierter Vorfall. Es handelt sich um die dritte Schwachstelle in VeloCloud Orchestrator, deren Ausnutzung in freier Wildbahn bestätigt wurde und die seit Juli 2026 in den CISA-KEV-Katalog aufgenommen wurde. Zuvor wurden CVE-2026-16812 (CVSS 10.0, OS command injection, Aufnahme in KEV am 27. Juli) und CVE-2026-93952 (CVSS 10.0, fehlerhafte Eingabevalidierung, aufgenommen am 22. September) verzeichnet. Die aktive Ausnutzung beider Schwachstellen wurde in den entsprechenden Arista-Hinweisen bestätigt: Security Advisory 0144 und Security Advisory 0183. Wir haben über diese Schwachstellen bereits berichtet: CVE-2026-16812: kritische Remote Code Execution in Arista VeloCloud Orchestrator und CVE-2026-93952: CVSS 10.0 in Arista VeloCloud Orchestrator.

Eine derart hohe Konzentration kritisch ausgenutzter Schwachstellen in einem einzigen Produkt innerhalb von vier Monaten weist auf ein systemisches Sicherheitsproblem der Plattform hin. Organisationen, die VCO On-Prem einsetzen, sollten die Situation nicht als Reihe einzelner Patches betrachten, sondern als Anlass für eine umfassende Überprüfung der Sicherheit ihres Deployments.

Indikatoren für eine Kompromittierung

Arista hat die in Angriffen auf CVE-2026-114625 beobachteten IP-Adressen veröffentlicht:

• 74.82.197[.]86
• 38.54.50[.]151

Für CVE-2026-110447 stehen folgende Indikatoren zur Verfügung:

• IP: 139.28.18[.]122
• Domain: webhook[.]site
• Hash: 4b9fbd0663fbfd6028fc216ed18e0d6ef3ae498a7fdc97083e4b0ce3cec40562
• Charakteristische URL-Muster: /apps/richdocumentscode/proxy.php?status und /apps/richdocumentscode/proxy.php/apps/richdocumentscode/shx*.php

Diese Indikatoren sollten zur Erkennung und für die retrospektive Suche in Logs verwendet werden, jedoch nicht zur geografischen oder gruppenbezogenen Attribution der Angreifer – die verfügbaren Daten reichen für eine solche Attribution nicht aus.

Empfehlungen

Für Collabora Online CODE Server in Nextcloud:

• Modul richdocumentscode auf Version 26.4.303 oder neuer aktualisieren
• Webserver-Logs auf Zugriffe auf proxy.php mit untypischen Parametern prüfen
• Nach PHP-Dateien mit dem Muster shx*.php im Applikationsverzeichnis suchen
• Bei Anzeichen einer Kompromittierung alle auf dem Server befindlichen Zugangsdaten als kompromittiert betrachten

Für Arista VeloCloud Orchestrator On-Prem:

• VCO auf die Versionen 5.2.3.18, 6.1.3.10 bzw. 6.4.2.12 aktualisieren
• Die genannten IP-Adressen blockieren und Logs auf Zugriffe von diesen prüfen
• Einen Audit authentifizierter Sitzungen durchführen, insbesondere mit der Rolle Enterprise Read Only – der minimalen Rolle für die Ausnutzung
• Angesichts von drei ausgenutzten Schwachstellen in vier Monaten eine vollständige Überprüfung der Netzsegmentierung und der Zugriffskontrollen auf das VCO-Webinterface durchführen

Organisationen mit lokalen Deployments von VeloCloud Orchestrator müssen nicht nur den Patch für CVE-2026-114625 einspielen, sondern auch sicherstellen, dass die Korrekturen für CVE-2026-16812 und CVE-2026-93952 angewendet wurden. Drei kritische Schwachstellen mit bestätigter Ausnutzung in kurzer Zeit erfordern einen proaktiven Ansatz: Beschränkung des Zugriffs auf das VCO-Webinterface auf vertrauenswürdige Netze, Monitoring ungewöhnlicher SQL-Abfragen und eine retrospektive Analyse der Logs für den Zeitraum seit Juli 2026.