Alerte de sécurité sur des vulnérabilités dans Nextcloud et Arista VCO

a close up of a network with wires connected to it — Albert Stoynov / Unsplash

Le 23 octobre 2026, le Bureau de la cybersécurité et de la sécurité des infrastructures des États-Unis (CISA) a émis une alerte concernant deux vulnérabilités qui ont été confirmées comme étant exploitées.

La première vulnérabilité, référencée sous le code CVE-2026-110447, concerne le serveur d’édition de documents « Built-in CODE Server » de Collabora, intégré à l’application de stockage en ligne Nextcloud. Cette vulnérabilité permettrait l'exécution à distance de commandes du système d'exploitation sans authentification, si une requête manipulée est envoyée lorsque le serveur d’édition de documents est inactif. Le développeur a publié une mise à jour, la version 26.4.303, et a conseillé aux utilisateurs de mettre à jour ou de supprimer l’application, car la désactivation seule ne suffit pas pour se protéger.

La seconde vulnérabilité, désignée sous le code CVE-2026-114625, concerne le produit de gestion intégrée de réseau VeloCloud Orchestrator d'Arista Networks. Elle présente une vulnérabilité d'injection SQL qui nécessite un accès à l'interface d'administration et une session authentifiée. Cela pourrait permettre à un attaquant d'élever ses privilèges et d'accéder à des fonctionnalités de gestion internes.

La CISA a fixé au 26 octobre 2026 la date limite pour que les agences gouvernementales américaines prennent des mesures concernant ces vulnérabilités. Les agences doivent non seulement corriger les failles, mais également enquêter sur toute éventuelle compromission.

Des vulnérabilités critiques dans plusieurs autres systèmes ont également été signalées, y compris celles dans Apache Tomcat, Firefox pour Android, et d'autres produits comme Splunk Enterprise et PHP, soulignant l'importance d'une vigilance accrue en matière de cybersécurité.