CISA waarschuwt voor kritieke fouten in Nextcloud en Arista VCO

De Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) heeft op 23 oktober 2026 een waarschuwing uitgebracht over twee actief misbruikte kwetsbaarheden. De eerste betreft CVE-2026-110447 in de Collabora Online CODE Server die vaak wordt geïntegreerd met Nextcloud. Deze code‑injection‑fout kan leiden tot externe uitvoering van willekeurige besturingssystemen‑commando’s zonder authenticatie, wanneer de ingebouwde document‑editor niet actief is. De ontwikkelaar heeft versie 26.4.303 uitgebracht; het uitschakelen van de app is niet voldoende, een update of volledige verwijdering wordt aanbevolen.

De tweede kwetsbaarheid, CVE-2026-114625, betreft Arista VCO, een netwerk‑integratiemanagementproduct voor SD‑WAN‑omgevingen. Het betreft een SQL‑injection‑probleem dat alleen kan worden uitgebuit met een geauthenticeerde sessie, maar waarbij een gebruiker zijn rechten kan verhogen en toegang krijgt tot interne beheerfunctionaliteit. CISA heeft een deadline van 26 oktober 2026 gesteld voor federale instanties om beide problemen op te lossen en daarnaast ook onderzoek te doen naar eventuele inbreuken. Het agentschap heeft de lijst met bekende misbruikte kwetsbaarheden (KEV) bijgewerkt met deze twee gevallen.