CISA advarer om sårbarheter i Nextcloud og Arista VCO

MacBook Pro on top of brown table — Kari Shea / Unsplash

Det amerikanske cybersikkerhets- og infrastruktur-sikkerhetsbyrået (CISA) ga 23. oktober 2026 en advarsel om to sårbarheter som har blitt bekreftet utnyttet.

Den første sårbarheten, «CVE-2026-110447», er relatert til den innebygde dokumentredigeringsserveren «Built-in CODE Server» fra Collabora, som brukes i online lagringstjenesten «Nextcloud». Denne sårbarheten er en OS-kommando injeksjon, som kan tillate at skadelige forespørslene kan sende kommandoer til systemet uten autentisering, dersom den innebygde serveren ikke er aktivert.

Utvikleren har publisert en oppdatering, versjon «26.4.303», som løser sårbarheten. CISA understreker at det ikke er nok å bare deaktivere appen; brukere må oppdatere eller slette appen for å sikre systemet.

Den andre sårbarheten, «CVE-2026-114625», er en SQL-injeksjon i Arista Networks’ SD-WAN-løsning, «VeloCloud Orchestrator». Denne sårbarheten krever tilgang til administrasjonsgrensesnittet med en autentisert sesjon, men kan tillate heving av privilegier og tilgang til interne administrasjonsfunksjoner.

CISA har satt en frist for amerikanske myndigheter til 26. oktober for å adressere disse sårbarhetene. Byrået ber om at ikke bare sårbarhetene blir løst, men også at det gjennomføres undersøkelser for å avdekke eventuelle sikkerhetsbrudd.