Dobësitë në Collabora Online dhe VeloCloud përballen me sulme aktive
Dobësitë në Collabora Online dhe Arista VeloCloud Orchestrator po shfrytëzohen në sulme aktive, sipas Agjencisë së SHBA-së për Sigurinë Kibernetike dhe Sigurinë e Infrastrukturës (CISA). Agjencia i shtoi të dyja dobësitë kritike në katalogun e saj Known Exploited Vulnerabilities (KEV), një listë dobësish sigurie që janë përdorur në sulme reale. Sistemet e prekura përfshijnë një server dokumentesh të vendosur bashkë me Nextcloud dhe një softuer on-premise për menaxhimin e rrjetit.
Problemi në Collabora, CVE-2026-110447, ka vlerësim 9.2 në Common Vulnerability Scoring System (CVSS). CVSS është një metodë standarde për të shprehur shkallën e rëndësisë së një dobësie sigurie. Dobësia command injection në operating system prek Collabora Online Built-in CODE Server, të njohur edhe si richdocumentscode, kur përdoret brenda platformës NextCloud. Command injection do të thotë se një sulmues mund ta bëjë sistemin bazë të ekzekutojë udhëzime që aplikacioni nuk duhej t’i pranonte.
Rruga e cenueshme përfshin proxy.php kur CODE local document server nuk është aktiv. Shfrytëzimi mund të çojë në remote code execution, që do të thotë se një sulmues mund ta bëjë serverin të ekzekutojë softuer ose komanda përmes një rrjeti. Dobësia u korrigjua në shtator 2026 me versionin 26.4.303. Pronarët e faqeve dhe ekipet e hosting që përdorin këtë konfigurim të Nextcloud duhet të përcaktojnë se cili version është i instaluar, në vend që të supozojnë se një përditësim i aplikacionit ose i operating system ka përditësuar edhe komponentin Collabora.
Sipas raportimit nga The Hacker News, sulmuesit e kanë përdorur tashmë CVE-2026-110447 për të vendosur një web shell në serverët Nextcloud. Një web shell është një skedar ose program keqdashës që i jep sulmuesit një mënyrë për të kontrolluar përmes web-it një faqe ose server të komprometuar. Aktiviteti i vëzhguar përfshinte reconnaissance, pra shqyrtimin e sistemit për të mësuar se çfarë përmban, si dhe kërkime për depo kredencialesh, artefakte të menaxherit të fjalëkalimeve dhe kuleta kriptomonedhash. Kjo e bën problemin të rëndësishëm përtej vetë shërbimit të dokumenteve, sepse informacionet e ruajtura në të njëjtin server të komprometuar mund të ekspozohen gjithashtu ndaj një sulmuesi.
Dobësia e dytë, CVE-2026-114625, është një problem SQL injection në versionet on-premise të Arista VeloCloud Orchestrator (VCO). SQL injection lejon që të dhëna hyrëse të përgatitura posaçërisht të ndërhyjnë në kërkesat që i dërgohen një database. Dobësia ka vlerësim CVSS prej 9.9 dhe mund t’i lejojë një sulmuesi nga larg të arrijë funksionalitete të brendshme të privilegjuara. Ajo u korrigjua në tetor 2026 në versionet 5.2.3.18, 6.1.3.10 dhe 6.4.2.12.
Shfrytëzimi i dobësisë në VCO nuk përshkruhet si një sulm nga interneti pa authentication. Sulmuesi duhet të jetë në gjendje të arrijë VCO web interface përmes rrjetit dhe duhet të ketë tashmë një authenticated session të vlefshëm në portalin VCO. Niveli minimal i nevojshëm i llogarisë është Enterprise Read Only. Arista ka pranuar se dobësia po shfrytëzohet në mënyrë aktive, por nuk ia ka atribuar sulmet një threat actor të caktuar dhe as nuk ka zbuluar hollësi teknike për metodën e shfrytëzimit, veprimet e ndërmarra pas privilege escalation ose numrin e organizatave të prekura.
Arista ndau dy adresa të lidhura me aktivitetin, 74.82.197[.]86 dhe 38.54.50[.]151, të dyja me geolocation në Japoni. Geolocation tregon se ku duket se ndodhet një adresë interneti dhe, në vetvete, nuk përcakton se ku ndodhet fizikisht një sulmues. CVE-2026-114625 është dobësia e tretë në këtë produkt që raportohet si weaponized in the wild që nga korriku 2026. Dobësitë e mëparshme ishin CVE-2026-16812 dhe CVE-2026-93952, dhe të dyja morën vlerësim CVSS prej 10.0.
CISA rekomandoi që agjencitë civile federale të degës ekzekutive të SHBA-së t’i aplikojnë korrigjimet e disponueshme deri më 26 tetor 2026. Organizatat e tjera që përdorin produktet e prekura mund ta përdorin të njëjtin informacion për t’u dhënë përparësi përditësimeve të tyre, veçanërisht kur një server Nextcloud përmban skedarë sensitivë ose kur një portal VCO mund të arrihet nga përdorues të autentikuar me më pak privilegje. Për lexuesit që vlerësojnë nevoja më të gjera mbështetjeje rreth incidenteve të tilla, AEU-I ofron shërbime IT, infrastrukture dhe konsulence me sigurinë si përparësi.
Administratorët duhet ta trajtojnë përditësimin vetëm si një pjesë të reagimit kur shfrytëzimi mund të ketë ndodhur tashmë. Për dobësinë në Collabora, instalimi i raportuar i web shells dhe kërkimet për materiale sensitive nënkuptojnë se organizatat e prekura duhet të hetojnë nëse serverët e tyre janë aksesuar përpara se të korrigjoheshin. Për VCO, ekipet duhet të identifikojnë se cilët përdorues mund ta arrijnë portalin, të verifikojnë versionin e instaluar dhe të shqyrtojnë aksesin e autentikuar, sepse shfrytëzimi kërkon si akses në rrjet, ashtu edhe një session të vlefshëm.