23 жовтня 2026 року агентство CISA внесло до каталогу відомих експлуатованих вразливостей (KEV) дві критичні проблеми: CVE-2026-110447 у Collabora Online Built-in CODE Server для Nextcloud (CVSS 9.2) і CVE-2026-114625 у Arista VeloCloud Orchestrator (CVSS 9.9). Обидві вразливості підтверджено експлуатуються в реальних атаках. Адміністраторам Nextcloud-інсталяцій з модулем richdocumentscode та операторам локальних розгортань VeloCloud Orchestrator необхідно негайно встановити доступні патчі. Федеральним цивільним агентствам США (FCEB), згідно з первинним матеріалом, рекомендовано усунути вразливості до 26 жовтня 2026 року.
CVE-2026-110447: інʼєкція команд ОС у Collabora Online CODE Server
Вразливість CVE-2026-110447 являє собою інʼєкцію команд операційної системи (CWE-78) у компоненті proxy.php модуля richdocumentscode — вбудованого сервера CODE для платформи Nextcloud. Згідно з записом CNA, вразливість дає змогу віддаленого виконання коду, коли локальний сервер документів CODE не запущений. Оцінка CVSS 4.0 — 9.2 (критичний рівень).
Принципово важливо: вразливість зачіпає лише розгортання Nextcloud з модулем Built-in CODE Server (richdocumentscode), але не автономні сервери Collabora Online. Виправлення випущено у версії 26.4.303, про що повідомляється у бюлетені безпеки проєкту.
За даними звітy про інцидент у репозиторії проєкту, у вересні–жовтні 2026 року було зафіксовано однаковий патерн атак на кількох незалежних інсталяціях Nextcloud: зловмисники встановлювали PHP web shell-и, проводили розвідку та цілеспрямовано шукали сховища облікових даних, артефакти менеджерів паролів і криптовалютні гаманці. Точну кількість постраждалих організацій не встановлено.
CVE-2026-114625: SQL injection в Arista VeloCloud Orchestrator
Вразливість CVE-2026-114625 — це SQL injection (CWE-89) у локальних версіях Arista VeloCloud Orchestrator (VCO). Згідно з бюлетенем Arista, успішна експлуатація дозволяє віддаленому зловмиснику отримати доступ до привілейованої внутрішньої функціональності оркестратора. Оцінка CVSS 3.1 — 9.9, CVSS 4.0 — 9.4 (критичний рівень).
Зачеплені версії:
- VCO 5.2.x до 5.2.3.18
- VCO 6.1.x до 6.1.3.10
- VCO 6.4.x до 6.4.2.12
Arista підтверджує, що вразливість активно експлуатується. Для успішної атаки потрібен мережевий доступ до вебінтерфейсу VCO і дійсна автентифікована сесія на порталі; мінімально необхідна роль — Enterprise Read Only. Попри підтвердження експлуатації, Arista не розкрила атрибуцію до конкретного угруповання, технічні подробиці постексплуатації та кількість постраждалих організацій.
Відмінності в профілі загроз
Дві вразливості суттєво відрізняються за масштабом впливу. CVE-2026-110447 не потребує автентифікації та націлена на компонент, доступний з інтернету, — proxy.php у Nextcloud. Це робить її придатною для масової експлуатації, що підтверджується спостереженнями на багатьох незалежних інсталяціях. CVE-2026-114625, навпаки, потребує автентифікованої сесії на порталі VCO, що звужує коло атакувальників, але не зменшує критичності: компрометація оркестратора SD-WAN потенційно дає контроль над усією керованою мережевою інфраструктурою.
Повторювана проблема VeloCloud Orchestrator
CVE-2026-114625 — не поодинокий інцидент. Це третя вразливість у VeloCloud Orchestrator, підтверджено експлуатована в реальних атаках і додана до каталогу CISA KEV з липня 2026 року. Раніше були зафіксовані CVE-2026-16812 (CVSS 10.0, інʼєкція команд ОС, додана в KEV 27 липня) і CVE-2026-93952 (CVSS 10.0, некоректна валідація введення, додана 22 вересня). Активну експлуатацію обох підтверджено відповідними бюлетенями Arista: Security Advisory 0144 та Security Advisory 0183. Ми вже писали про ці вразливості: CVE-2026-16812: критична RCE в Arista VeloCloud Orchestrator і CVE-2026-93952: CVSS 10.0 в Arista VeloCloud Orchestrator.
Така концентрація критичних експлуатованих вразливостей в одному продукті за чотири місяці вказує на системну проблему безпеки платформи. Організаціям, які використовують VCO On-Prem, слід розглядати ситуацію не як серію окремих патчів, а як привід для комплексного перегляду безпеки розгортання.
Індикатори компрометації
Arista опублікувала IP-адреси, помічені в атаках на CVE-2026-114625:
74.82.197[.]8638.54.50[.]151
Для CVE-2026-110447 доступні такі індикатори:
- IP:
139.28.18[.]122 - Домен:
webhook[.]site - Хеш:
4b9fbd0663fbfd6028fc216ed18e0d6ef3ae498a7fdc97083e4b0ce3cec40562 - Характерні URL-патерни:
/apps/richdocumentscode/proxy.php?statusі/apps/richdocumentscode/proxy.php/apps/richdocumentscode/shx*.php
Ці індикатори слід використовувати для виявлення й ретроспективного пошуку в логах, але не для географічної чи групової атрибуції зловмисників — наявних даних для такої атрибуції недостатньо.
Рекомендації
Для Collabora Online CODE Server у Nextcloud:
- Оновити модуль richdocumentscode до версії 26.4.303 або новішої
- Перевірити логи вебсервера на звернення до
proxy.phpз нетиповими параметрами - Провести пошук PHP-файлів з патерном
shx*.phpу директорії застосунку - У разі виявлення ознак компрометації — вважати всі облікові дані на сервері скомпрометованими
Для Arista VeloCloud Orchestrator On-Prem:
- Оновити VCO до версій 5.2.3.18, 6.1.3.10 або 6.4.2.12 відповідно
- Заблокувати вказані IP-адреси та перевірити логи на звернення з них
- Провести аудит автентифікованих сесій, особливо з роллю Enterprise Read Only — мінімальною для експлуатації
- З огляду на три експлуатовані вразливості за чотири місяці, провести повну ревізію мережевої сегментації та контролю доступу до вебінтерфейсу VCO
Організаціям з локальними розгортаннями VeloCloud Orchestrator необхідно не лише встановити патч для CVE-2026-114625, а й переконатися, що виправлення для CVE-2026-16812 та CVE-2026-93952 також застосовані. Три критичні вразливості з підтвердженою експлуатацією за короткий період вимагають проактивного підходу: обмеження доступу до вебінтерфейсу VCO довіреними мережами, моніторингу аномальних SQL-запитів і ретроспективного аналізу логів за період з липня 2026 року.
