Безопасность · 28 октября 2026 г.
CISA предупреждает об уязвимостях в Nextcloud и Arista VCO
Агентство по кибербезопасности и инфраструктурной безопасности США CISA выпустило предупреждение о двух уязвимостях, которые уже подвергались эксплуатации.
В каталог известных эксплуатируемых уязвимостей были добавлены записи CVE-2026-110447 для встроенного сервера CODE в Collabora Online и CVE-2026-114625 для VeloCloud Orchestrator.
Уязвимость CVE-2026-110447 представляет собой инъекцию команд операционной системы в дополнительном приложении Built-in CODE Server, которое Collabora предоставляет для интеграции сервера редактирования документов в облачное хранилище Nextcloud. Существует риск удаленного выполнения произвольных команд операционной системы без необходимости аутентификации, если отправлен специально сформированный запрос в состоянии, когда встроенный сервер редактирования документов не запущен.
Разработчики выпустили версию 26.4.303, в которой данная проблема исправлена. Специалисты отмечают, что простое отключение приложения не является мерой защиты, поэтому рекомендуется обновить систему или полностью удалить приложение.
Уязвимость CVE-2026-114625 связана с SQL-инъекцией в продукте VeloCloud Orchestrator от компании Arista Networks, который предназначен для интегрированного управления сетью в средах SD-WAN. Для эксплуатации данной ошибки требуется доступ к панели управления и наличие аутентифицированной сессии, что позволяет злоумышленнику повысить свои привилегии и получить доступ к внутренним функциям управления.
CISA установило крайний срок для устранения этих проблем в правительственных учреждениях США до 26 октября. Ведомство требует не только устранить уязвимости, но и провести расследование на предмет возможного компрометирования систем.