米CISA、Collabora OnlineとArista VeloCloudの深刻な脆弱性を悪用中として公表

米国のサイバーセキュリティおよびインフラセキュリティ局（CISA）は金曜日、Collabora Online Built-in CODE ServerおよびArista VeloCloud Orchestrator（VCO）に影響する2つの脆弱性を、既知の悪用脆弱性（KEV）リストに追加した。CISAは、実環境での積極的な悪用の報告を根拠として挙げている。

これらは深刻な重大度を持つ脆弱性である。脅威アクターは、CVE-2026-110447を悪用してNextcloudサーバーにバックドアを仕掛け、Webシェルを通じて情報収集や認証情報、パスワード管理ツール、暗号通貨ウォレットの探索を行っている。CVE-2026-114625の悪用には、VCOのWebインターフェースへのネットワークアクセスと、VCOポータルでの有効な認証済みセッションが必要であり、最低限のユーザーロールはEnterprise Read Onlyである。