Seguridad · 28 de octubre de 2026
CISA advierte sobre vulnerabilidades en Nextcloud y Arista VCO
La Agencia de Seguridad Cibernética e Infraestructura de Estados Unidos (CISA) emitió el 23 de octubre de 2026 una advertencia sobre dos vulnerabilidades que han sido confirmadas como explotadas.
Se han añadido al catálogo de vulnerabilidades confirmadas de explotación (KEV) la vulnerabilidad "CVE-2026-110447" en el servidor de edición de documentos "Built-in CODE Server" de Collabora, que se integra en el almacenamiento en línea "Nextcloud", y la vulnerabilidad "CVE-2026-114625" en el producto de gestión de red "VeloCloud Orchestrator (VCO)" de Arista.
La vulnerabilidad "CVE-2026-110447" implica una inyección de comandos del sistema operativo que podría permitir la ejecución remota de comandos sin autenticación, si se envían solicitudes manipuladas mientras el servidor de edición de documentos no está en funcionamiento. El desarrollador ha publicado una actualización "26.4.303" que corrige esta vulnerabilidad, advirtiendo que solo desactivar la aplicación no es suficiente; se requiere una actualización o la eliminación de la aplicación.
Por otro lado, la vulnerabilidad "CVE-2026-114625" se refiere a una inyección SQL en el producto de gestión de red "VeloCloud Orchestrator". Esta vulnerabilidad requiere acceso a la interfaz de administración y una sesión autenticada, pero podría permitir la elevación de privilegios y el acceso a funciones de gestión internas.
CISA ha establecido el 26 de octubre como fecha límite para que las agencias del gobierno de Estados Unidos respondan a estas vulnerabilidades, instando a resolverlas y a investigar la posible existencia de compromisos.