安全 · 2026年10月28日

也发布于 Polski, Deutsch, Español

美国当局警告「Nextcloud」和「Arista VCO」的脆弱性

Green computer code text scrolling on a dark screen during a software installation
Jake Walker / Unsplash

美国网络安全基础设施安全局（CISA）于2026年10月23日发布了关于两个已确认被利用的脆弱性警告。

在《已确认被利用的脆弱性目录（KEV）》中，新增了「Collabora Online - Built-in CODE Server」的「CVE-2026-110447」和「VeloCloud Orchestrator（VCO）」的「CVE-2026-114625」。

「CVE-2026-110447」是Collabora提供的附加应用程序「Built-in CODE Server」中发现的操作系统命令注入漏洞，该漏洞允许在未启动内置文档编辑服务器的情况下，远程执行任意操作系统命令，而无需身份验证。

开发商已发布修复该漏洞的版本「26.4.303」，并要求用户进行更新或删除该应用程序，仅禁用应用程序并不足以解决问题。

另一方面，「CVE-2026-114625」是Arista Networks的SD-WAN环境下网络集成管理产品「VeloCloud Orchestrator」中确认的SQL注入漏洞。此漏洞需要访问管理界面并必须是经过身份验证的会话，攻击者可提升权限并访问内部管理功能。

对于这些脆弱性，CISA已指定美国政府机构的应对截止日期为10月26日，并要求在响应中调查是否存在安全漏洞。