หน่วยงานสหรัฐฯ เตือนเกี่ยวกับช่องโหว่ใน Nextcloud และ Arista VCO

light decorations in dark area — Aron Visuals / Unsplash

หน่วยงานความปลอดภัยทางไซเบอร์และโครงสร้างพื้นฐานของสหรัฐอเมริกา (CISA) ได้ออกคำเตือนเกี่ยวกับช่องโหว่ที่ได้รับการยืนยันว่ามีการใช้ประโยชน์ในวันที่ 23 ตุลาคม 2026 ตามเวลาท้องถิ่น

ช่องโหว่ที่เพิ่มเข้ามาใน "แคตตาล็อกช่องโหว่ที่ได้รับการยืนยัน (KEV)" ได้แก่ "CVE-2026-110447" สำหรับเซิร์ฟเวอร์การแก้ไขเอกสาร "Collabora Online - Built-in CODE Server" และ "CVE-2026-114625" สำหรับ "VeloCloud Orchestrator (VCO)".

"CVE-2026-110447" เป็นช่องโหว่การฉีดคำสั่ง OS ที่พบในแอปเสริม "Built-in CODE Server" ของ Collabora ที่ใช้สำหรับการแก้ไขเอกสารใน Nextcloud โดยอาจทำให้ผู้ไม่ประสงค์ดีสามารถเรียกใช้คำสั่ง OS ได้จากระยะไกลโดยไม่ต้องมีการรับรองตัวตน.

CISA กำหนดให้หน่วยงานรัฐบาลสหรัฐฯ แก้ไขช่องโหว่เหล่านี้ภายในวันที่ 26 ตุลาคม 2026 โดยมีการเรียกร้องให้ตรวจสอบการละเมิดที่อาจเกิดขึ้นด้วย.