Co się wydarzyło
CVE-2026-110447 to wstrzyknięcie poleceń systemowych we wbudowanym serwerze CODE Collabora Online używanym z platformą Nextcloud — pozwala na zdalne wykonanie kodu przez „proxy.php”, gdy lokalny serwer dokumentów nie działa. Napastnicy sadzili na serwerach Nextcloud web shell, a następnie szukali magazynów poświadczeń, artefaktów menedżerów haseł i portfeli kryptowalut. Lukę naprawiono we wrześniu 2026 w wersji 26.4.303.
CVE-2026-114625 to wstrzyknięcie SQL w lokalnych instalacjach Arista VeloCloud Orchestrator, dające zdalnemu, uwierzytelnionemu użytkownikowi (minimalnie rola Enterprise Read Only) dostęp do uprzywilejowanych funkcji. Arista potwierdza aktywne wykorzystanie, ale nie przypisuje go konkretnej grupie; to już trzecia luka VCO wykorzystywana w atakach od lipca 2026. Poprawki w wersjach 5.2.3.18, 6.1.3.10 i 6.4.2.12.
Najważniejsze ustalenia
- Collabora/Nextcloud (CVE-2026-110447, CVSS 9,2): RCE przez proxy.php; obserwowano web shelle i poszukiwanie poświadczeń, menedżerów haseł i portfeli krypto. Poprawka: wersja 26.4.303 (wrzesień 2026).
- Arista VeloCloud Orchestrator (CVE-2026-114625, CVSS 9,9): SQL injection w instalacjach on-prem; trzecia wykorzystywana luka VCO od lipca 2026 (po dwóch z CVSS 10,0). Poprawki: 5.2.3.18, 6.1.3.10, 6.4.2.12.
- Termin dla agencji federalnych USA: 26 października 2026 — dobry punkt odniesienia dla priorytetyzacji w sektorze prywatnym.
- Arista udostępniła dwa adresy IP z geolokalizacją w Japonii powiązane z aktywnością.