CISA alerta sobre vulnerabilidades em Nextcloud e Arista VCO

silver iMac with Apple Magic Keyboard on white sufrace — Quaritsch Photography / Unsplash

O órgão de segurança cibernética dos Estados Unidos, CISA, emitiu um alerta no dia 23 de outubro de 2026 sobre duas vulnerabilidades que já foram confirmadas como exploradas.

As vulnerabilidades, listadas no catálogo de vulnerabilidades exploradas (KEV), incluem uma falha de injeção de comando do sistema operacional (CVE-2026-110447) no aplicativo Built-in CODE Server da Collabora, utilizado para edição de documentos no armazenamento online Nextcloud. Essa vulnerabilidade pode permitir a execução remota de comandos do sistema operacional sem necessidade de autenticação, caso requisições manipuladas sejam enviadas enquanto o servidor de edição de documentos estiver inativo.

A Collabora lançou uma atualização para corrigir essa vulnerabilidade, identificada como versão 26.4.303. O órgão recomenda que a aplicação não apenas seja desativada, mas que os usuários realizem a atualização ou removam o aplicativo completamente.

A segunda vulnerabilidade, CVE-2026-114625, refere-se a uma falha de injeção SQL no produto VeloCloud Orchestrator da Arista Networks, destinado a ambientes de SD-WAN. Embora essa vulnerabilidade exija acesso ao painel de administração e uma sessão autenticada, ela pode permitir a elevação de privilégios e acesso a funções administrativas internas.

CISA estabeleceu o dia 26 de outubro como prazo para a resposta das agências governamentais dos Estados Unidos a essas vulnerabilidades, solicitando que não apenas as falhas sejam resolvidas, mas que também seja realizada uma investigação sobre possíveis violações de segurança.