El 23 de octubre de 2026, la agencia CISA añadió al catálogo de vulnerabilidades explotadas conocidas (KEV) dos problemas críticos: CVE-2026-110447 en Collabora Online Built-in CODE Server para Nextcloud (CVSS 9.2) y CVE-2026-114625 en Arista VeloCloud Orchestrator (CVSS 9.9). Está confirmado que ambas vulnerabilidades se explotan in the wild. Los administradores de instalaciones de Nextcloud con el módulo richdocumentscode y los operadores de despliegues locales de VeloCloud Orchestrator deben instalar de inmediato los parches disponibles. A las agencias civiles federales de Estados Unidos (FCEB), según la fuente original, se les recomienda subsanar las vulnerabilidades antes del 26 de octubre de 2026.
CVE-2026-110447: OS command injection en Collabora Online CODE Server
La vulnerabilidad CVE-2026-110447 es una OS command injection (CWE-78) en el componente proxy.php del módulo richdocumentscode, el servidor CODE integrado para la plataforma Nextcloud. Según el registro CNA, la vulnerabilidad permite la ejecución remota de código cuando el servidor local de documentos CODE no está en ejecución. La puntuación CVSS 4.0 es 9.2 (nivel crítico).
Es fundamental tener en cuenta que la vulnerabilidad afecta solo a los despliegues de Nextcloud con el módulo Built-in CODE Server (richdocumentscode), pero no a los servidores autónomos de Collabora Online. La corrección se publicó en la versión 26.4.303, tal como se indica en el aviso de seguridad del proyecto.
Según el informe de incidente en el repositorio del proyecto, entre septiembre y octubre de 2026 se observó un mismo patrón de ataques en varias instalaciones independientes de Nextcloud: los atacantes instalaban web shells en PHP, realizaban reconocimiento y buscaban de forma dirigida almacenes de credenciales, artefactos de gestores de contraseñas y monederos de criptomonedas. El número exacto de organizaciones afectadas no se ha determinado.
CVE-2026-114625: SQL injection en Arista VeloCloud Orchestrator
La vulnerabilidad CVE-2026-114625 es una SQL injection (CWE-89) en las versiones locales de Arista VeloCloud Orchestrator (VCO). Según el aviso de seguridad de Arista, su explotación satisfactoria permite a un atacante remoto obtener acceso a funcionalidades internas privilegiadas del orquestador. La puntuación CVSS 3.1 es 9.9 y la CVSS 4.0 es 9.4 (nivel crítico).
Versiones afectadas:
- VCO 5.2.x hasta 5.2.3.18 (sin incluir)
- VCO 6.1.x hasta 6.1.3.10 (sin incluir)
- VCO 6.4.x hasta 6.4.2.12 (sin incluir)
Arista confirma que la vulnerabilidad se explota activamente. Para un ataque exitoso se requiere acceso de red a la interfaz web de VCO y una sesión autenticada válida en el portal; el rol mínimo necesario es Enterprise Read Only. A pesar de haber confirmado su explotación, Arista no ha revelado la atribución a un grupo concreto, los detalles técnicos de la post-explotación ni el número de organizaciones afectadas.
Diferencias en el perfil de amenazas
Las dos vulnerabilidades difieren significativamente en cuanto al alcance de su impacto. CVE-2026-110447 no requiere autenticación y está dirigida a un componente accesible desde internet —proxy.php en Nextcloud—. Esto la hace apta para una explotación masiva, algo que se confirma con las observaciones en numerosas instalaciones independientes. CVE-2026-114625, por el contrario, requiere una sesión autenticada en el portal de VCO, lo que reduce el círculo de atacantes, pero no disminuye la criticidad: la compromisión de un orquestador SD-WAN potencialmente otorga control sobre toda la infraestructura de red gestionada.
Un problema recurrente en VeloCloud Orchestrator
CVE-2026-114625 no es un incidente aislado. Es la tercera vulnerabilidad en VeloCloud Orchestrator cuya explotación en la naturaleza está confirmada y que se ha añadido al catálogo CISA KEV desde julio de 2026. Anteriormente se registraron CVE-2026-16812 (CVSS 10.0, OS command injection, añadida a KEV el 27 de julio) y CVE-2026-93952 (CVSS 10.0, validación de entrada incorrecta, añadida el 22 de septiembre). La explotación activa de ambas se confirmó en los avisos de seguridad correspondientes de Arista: Security Advisory 0144 y Security Advisory 0183. Ya hemos escrito sobre estas vulnerabilidades: CVE-2026-16812: vulnerabilidad crítica de ejecución remota de código en Arista VeloCloud Orchestrator y CVE-2026-93952: CVSS 10.0 en Arista VeloCloud Orchestrator.
Esta concentración de vulnerabilidades críticas explotadas en un solo producto en el plazo de cuatro meses apunta a un problema de seguridad sistémico en la plataforma. Las organizaciones que utilizan VCO On-Prem deberían contemplar la situación no como una serie de parches aislados, sino como un motivo para revisar de forma integral la seguridad de su despliegue.
Indicadores de compromiso
Arista publicó direcciones IP observadas en ataques que explotan CVE-2026-114625:
74.82.197[.]8638.54.50[.]151
Para CVE-2026-110447 hay disponibles los siguientes indicadores:
- IP:
139.28.18[.]122 - Dominio:
webhook[.]site - Hash:
4b9fbd0663fbfd6028fc216ed18e0d6ef3ae498a7fdc97083e4b0ce3cec40562 - Patrones característicos de URL:
/apps/richdocumentscode/proxy.php?statusy/apps/richdocumentscode/proxy.php/apps/richdocumentscode/shx*.php
Estos indicadores deben utilizarse para la detección y la búsqueda retrospectiva en los registros, pero no para la atribución geográfica o por grupos de los atacantes: los datos disponibles no son suficientes para realizar dicha atribución.
Recomendaciones
Para Collabora Online CODE Server en Nextcloud:
- Actualizar el módulo richdocumentscode a la versión 26.4.303 o posterior
- Revisar los registros del servidor web en busca de accesos a
proxy.phpcon parámetros atípicos - Realizar una búsqueda de archivos PHP con el patrón
shx*.phpen el directorio de la aplicación - Si se detectan indicios de compromiso, considerar comprometidas todas las credenciales en el servidor
Para Arista VeloCloud Orchestrator On-Prem:
- Actualizar VCO a las versiones 5.2.3.18, 6.1.3.10 o 6.4.2.12, según corresponda
- Bloquear las direcciones IP indicadas y revisar los registros en busca de accesos desde ellas
- Realizar una auditoría de las sesiones autenticadas, especialmente las que tengan el rol Enterprise Read Only, el mínimo requerido para la explotación
- Teniendo en cuenta tres vulnerabilidades explotadas en cuatro meses, llevar a cabo una revisión completa de la segmentación de red y del control de acceso a la interfaz web de VCO
Las organizaciones con despliegues locales de VeloCloud Orchestrator no solo deben instalar el parche para CVE-2026-114625, sino también asegurarse de que se han aplicado las correcciones para CVE-2026-16812 y CVE-2026-93952. Tres vulnerabilidades críticas con explotación confirmada en un período corto requieren un enfoque proactivo: limitar el acceso a la interfaz web de VCO a redes de confianza, monitorizar consultas SQL anómalas y realizar un análisis retrospectivo de los registros desde julio de 2026.
