Vulnerabilità · 1 giorno fa

Server Nextcloud compromessi, Arista VCO alla terza falla sfruttata

CISA ha inserito nel KEV due vulnerabilità sfruttate attivamente: The Hacker News riferisce che quella di Collabora Online ha già permesso di installare backdoor sui server Nextcloud; quella di Arista VCO è la terza falla del prodotto sfruttata da luglio 2026.

In Collabora, quando il server locale dei documenti non è in esecuzione, una richiesta passata dal proxy di Nextcloud può diventare un comando del sistema operativo: la command injection trasforma l’integrazione documentale in una via per controllare il server. VCO ha una SQL injection, ma servono accesso all’interfaccia web e una sessione valida con almeno il ruolo Enterprise Read Only. Le versioni correttive sono 26.4.303 per Collabora e 5.2.3.18, 6.1.3.10 o 6.4.2.12 per VCO.

Gli attacchi a Nextcloud hanno cercato archivi di credenziali, esportazioni dei gestori di password e wallet di criptovalute: la patch non esclude un furto già avvenuto. Per VCO, la ricorrenza degli exploit segnala un rischio che va oltre questa singola falla. Le agenzie federali statunitensi hanno scadenza al 26 ottobre 2026.

CVE-2026-110447

NVD KEV

Sfruttamento noto · CISA KEV

EPSS 2% (83º percentile).

Data di correzione federale CISA 26 ott

CVE-2026-114625

NVD KEV

Sfruttamento noto · CISA KEV

CVSS 9.9 CRITICAL: veloCloud Orchestrator (VCO) on-prem has a security issue where this issue may allow a remote attacker to access privileged internal functionality and impact the VCO host.

Data di correzione federale CISA 26 ott

Cronologia

Fonti

1 fonte che coprono questa storia

Entità

Part of the PlainSec briefing for 2026-10-25

Editions

Storie correlate