Schwachstellen in Collabora Online und VeloCloud werden aktiv angegriffen
Schwachstellen in Collabora Online und Arista VeloCloud Orchestrator werden laut der US-amerikanischen Cybersecurity and Infrastructure Security Agency (CISA) in laufenden Angriffen ausgenutzt. Die Behörde nahm beide kritischen Schwachstellen in ihren Katalog Known Exploited Vulnerabilities (KEV) auf, eine Liste von Sicherheitslücken, die bei realen Angriffen ausgenutzt wurden. Zu den betroffenen Systemen gehören ein zusammen mit Nextcloud eingesetzter Dokumentenserver und eine on-premise betriebene Netzwerkverwaltungssoftware.
Die Collabora-Schwachstelle CVE-2026-110447 hat im Common Vulnerability Scoring System (CVSS) eine Bewertung von 9,2. CVSS ist eine Standardmethode, um den Schweregrad einer Sicherheitslücke anzugeben. Die Schwachstelle des Typs command injection auf Betriebssystemebene betrifft den Collabora Online Built-in CODE Server, auch bekannt als richdocumentscode, wenn er innerhalb der Nextcloud-Plattform verwendet wird. Bei command injection kann ein Angreifer das zugrunde liegende System dazu bringen, Anweisungen auszuführen, die von der Anwendung nicht akzeptiert werden sollten.
Der anfällige Pfad betrifft proxy.php, wenn der lokale CODE-Dokumentenserver nicht läuft. Eine Ausnutzung kann zu remote code execution führen. Das bedeutet, dass ein Angreifer den Server über ein Netzwerk Software oder Befehle ausführen lassen kann. Die Schwachstelle wurde im September 2026 mit Version 26.4.303 behoben. Betreiber von Websites und Hosting-Teams, die diese Nextcloud-Konfiguration verwenden, sollten feststellen, welche Version installiert ist, anstatt davon auszugehen, dass durch ein Update der Anwendung oder des Betriebssystems auch die Collabora-Komponente aktualisiert wurde.
Angreifer haben CVE-2026-110447 laut einem Bericht von The Hacker News bereits dazu verwendet, einen web shell auf Nextcloud-Servern zu platzieren. Ein web shell ist eine bösartige Datei oder ein bösartiges Programm, mit dem ein Angreifer eine kompromittierte Website oder einen Server über das Web kontrollieren kann. Zu den beobachteten Aktivitäten gehörten reconnaissance, also die Untersuchung des Systems und seiner Inhalte, sowie die Suche nach Speichern für Zugangsdaten, Artefakten von Passwortmanagern und Wallets für Kryptowährungen. Dadurch ist die Schwachstelle nicht nur für den Dokumentendienst selbst relevant, denn auch Informationen, die auf demselben kompromittierten Server gespeichert sind, könnten einem Angreifer zugänglich sein.
Bei der zweiten Schwachstelle, CVE-2026-114625, handelt es sich um eine SQL injection-Schwachstelle in on-premise Versionen von Arista VeloCloud Orchestrator (VCO). Durch SQL injection können speziell präparierte Eingaben die an eine Datenbank gesendeten Anfragen manipulieren. Die Schwachstelle hat eine CVSS-Bewertung von 9,9 und kann einem entfernten Angreifer den Zugriff auf privilegierte interne Funktionen ermöglichen. Sie wurde im Oktober 2026 in den Versionen 5.2.3.18, 6.1.3.10 und 6.4.2.12 behoben.
Die Ausnutzung der VCO-Schwachstelle wird nicht als nicht authentifizierter Angriff über das Internet beschrieben. Ein Angreifer muss die VCO-Weboberfläche über das Netzwerk erreichen können und bereits über eine gültige authentifizierte Sitzung im VCO-Portal verfügen. Die mindestens erforderliche Kontoebene ist Enterprise Read Only. Arista hat bestätigt, dass die Schwachstelle aktiv ausgenutzt wird. Das Unternehmen hat die Angriffe jedoch keinem bestimmten threat actor zugeschrieben und keine technischen Einzelheiten über die Ausnutzungsmethode, die nach der privilege escalation vorgenommenen Handlungen oder die Anzahl der betroffenen Organisationen veröffentlicht.
Arista veröffentlichte zwei mit den Aktivitäten in Verbindung stehende Adressen: 74.82.197[.]86 und 38.54.50[.]151. Beide wurden Japan zugeordnet. Eine geolocation gibt an, wo sich eine Internetadresse vermutlich befindet, belegt jedoch für sich allein nicht, wo ein Angreifer physisch ansässig ist. CVE-2026-114625 ist die dritte Schwachstelle des Produkts seit Juli 2026, deren aktive Nutzung für Angriffe in the wild gemeldet wurde. Bei den früheren Schwachstellen handelte es sich um CVE-2026-16812 und CVE-2026-93952; beide erhielten CVSS-Bewertungen von 10,0.
CISA empfahl den zivilen US-Bundesbehörden der Exekutive, die verfügbaren Korrekturen bis zum 26. Oktober 2026 einzuspielen. Andere Organisationen, die die betroffenen Produkte betreiben, können anhand derselben Informationen ihre eigenen Updates priorisieren. Dies gilt insbesondere, wenn ein Nextcloud-Server vertrauliche Dateien enthält oder ein VCO-Portal für authentifizierte Benutzer mit geringen Berechtigungen erreichbar ist. Lesern, die einen umfassenderen Unterstützungsbedarf bei Vorfällen dieser Art prüfen, bietet AEU-I sicherheitsorientierte IT-, Infrastruktur- und Beratungsleistungen an.
Administratoren sollten ein Update nur als einen Teil der Reaktion betrachten, wenn eine Ausnutzung möglicherweise bereits stattgefunden hat. Bei der Collabora-Schwachstelle bedeuten die gemeldete Installation bösartiger Dateien des Typs web shell und die Suche nach vertraulichen Inhalten, dass betroffene Organisationen untersuchen sollten, ob vor dem Einspielen des patch auf ihre Server zugegriffen wurde. Bei VCO sollten Teams feststellen, welche Benutzer das Portal erreichen können, die installierte Version überprüfen und authentifizierte Zugriffe kontrollieren, da eine Ausnutzung sowohl Netzwerkzugriff als auch eine gültige Sitzung voraussetzt.