Collabora Online e VeloCloud, vulnerabilità oggetto di attacchi attivi
Secondo la Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti, alcune vulnerabilità di Collabora Online e Arista VeloCloud Orchestrator vengono sfruttate in attacchi attivi. L'agenzia ha aggiunto entrambe le vulnerabilità critiche al proprio catalogo Known Exploited Vulnerabilities (KEV), un elenco di debolezze di sicurezza utilizzate in attacchi reali. I sistemi interessati includono un server documentale distribuito con Nextcloud e un software on-premise per la gestione della rete.
Il problema di Collabora, CVE-2026-110447, ha una valutazione di 9,2 nel Common Vulnerability Scoring System (CVSS). CVSS è un metodo standard per esprimere la gravità di una vulnerabilità di sicurezza. La vulnerabilità di command injection del sistema operativo interessa Collabora Online Built-in CODE Server, noto anche come richdocumentscode, quando viene utilizzato all'interno della piattaforma NextCloud. Con command injection si intende che un aggressore può indurre il sistema sottostante a eseguire istruzioni che l'applicazione non avrebbe dovuto accettare.
Il percorso vulnerabile coinvolge proxy.php quando il server documentale CODE locale non è in esecuzione. Lo sfruttamento può provocare remote code execution, consentendo a un aggressore di far eseguire al server software o comandi tramite una rete. La vulnerabilità è stata corretta nel settembre 2026 con la versione 26.4.303. I proprietari di siti web e i team di hosting che utilizzano questa configurazione di Nextcloud dovrebbero verificare quale versione è installata, anziché presumere che un aggiornamento dell'applicazione o del sistema operativo abbia aggiornato anche il componente Collabora.
Secondo quanto riportato da The Hacker News, gli aggressori hanno già utilizzato CVE-2026-110447 per installare un web shell sui server Nextcloud. Un web shell è un file o programma dannoso che consente a un aggressore di controllare tramite il web un sito o un server compromesso. L'attività osservata comprendeva la ricognizione, ossia l'esame del sistema per scoprirne i contenuti, e la ricerca di archivi di credenziali, artefatti di password manager e portafogli di criptovalute. Ciò rende il problema rilevante anche al di là del servizio documentale, perché le informazioni conservate sullo stesso server compromesso potrebbero essere esposte a un aggressore.
La seconda vulnerabilità, CVE-2026-114625, è una falla di SQL injection nelle versioni on-premise di Arista VeloCloud Orchestrator (VCO). La SQL injection permette a input appositamente preparati di interferire con le richieste inviate a un database. La vulnerabilità ha una valutazione CVSS di 9,9 e può consentire a un aggressore remoto di raggiungere funzionalità interne con privilegi elevati. È stata corretta nell'ottobre 2026 nelle versioni 5.2.3.18, 6.1.3.10 e 6.4.2.12.
Lo sfruttamento della vulnerabilità di VCO non viene descritto come un attacco via Internet privo di autenticazione. Un aggressore deve poter raggiungere tramite la rete l'interfaccia web di VCO e deve già disporre di una sessione autenticata valida sul portale VCO. Il livello minimo richiesto per l'account è Enterprise Read Only. Arista ha riconosciuto che la vulnerabilità viene sfruttata attivamente, ma non ha attribuito gli attacchi a uno specifico threat actor né ha divulgato dettagli tecnici sul metodo di sfruttamento, sulle azioni intraprese dopo la privilege escalation o sul numero di organizzazioni interessate.
Arista ha condiviso due indirizzi associati all'attività, 74.82.197[.]86 e 38.54.50[.]151, entrambi localizzati tramite geolocation in Giappone. La geolocation identifica il luogo in cui un indirizzo Internet sembra essere ubicato, ma da sola non permette di stabilire dove si trovi fisicamente un aggressore. CVE-2026-114625 è la terza vulnerabilità del prodotto segnalata come utilizzata in attacchi in the wild dal luglio 2026. Le vulnerabilità precedenti erano CVE-2026-16812 e CVE-2026-93952, entrambe con una valutazione CVSS di 10,0.
CISA ha raccomandato alle agenzie della Federal Civilian Executive Branch degli Stati Uniti di applicare le correzioni disponibili entro il 26 ottobre 2026. Le altre organizzazioni che utilizzano i prodotti interessati possono servirsi delle stesse informazioni per stabilire la priorità dei propri aggiornamenti, in particolare quando un server Nextcloud contiene file sensibili o un portale VCO è raggiungibile da utenti autenticati con privilegi inferiori. Per i lettori che stanno valutando esigenze di assistenza più ampie in relazione a incidenti di questo tipo, AEU-I offre servizi IT, infrastrutturali e di consulenza incentrati innanzitutto sulla sicurezza.
Quando lo sfruttamento potrebbe essere già avvenuto, gli amministratori dovrebbero considerare l'aggiornamento soltanto una parte della risposta. Per la vulnerabilità di Collabora, l'installazione segnalata di web shell e le ricerche di materiale sensibile indicano che le organizzazioni interessate dovrebbero verificare se sia stato effettuato un accesso ai loro server prima dell'applicazione delle correzioni. Per VCO, i team dovrebbero individuare gli utenti che possono raggiungere il portale, verificare la release installata ed esaminare gli accessi autenticati, poiché lo sfruttamento richiede sia l'accesso alla rete sia una sessione valida.