CISA inclui falhas exploradas no VeloCloud Orchestrator e no Collabora Online no catálogo KEV

A Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos (CISA) adicionou duas vulnerabilidades ao catálogo de falhas conhecidas e exploradas em 23 de outubro. Os registros afetam o VeloCloud Orchestrator, da Arista, e o servidor integrado do Collabora Online usado com a plataforma Nextcloud.

A CVE-2026-114625 é uma injeção de SQL no VeloCloud Orchestrator instalado localmente. Segundo a Arista, qualquer usuário autenticado, inclusive com a função mínima de leitura empresarial, pode obter privilégios de operador e se passar por uma conta local de superusuário. A empresa atribuiu pontuação CVSS 3.1 de 9,9 e confirmou exploração ativa. As versões corrigidas são 5.2.3.18, 6.1.3.10 e 6.4.2.12, ou posteriores nas respectivas linhas.

A CVE-2026-110447 afeta o servidor CODE integrado do Collabora Online quando usado com Nextcloud. O catálogo informa que uma injeção de comandos do sistema operacional pode levar à execução remota de código quando o servidor CODE não está em execução. A CISA exige triagem forense para os dois registros e estabeleceu 26 de outubro como prazo federal de mitigação.

Equipes devem localizar instâncias expostas, aplicar as atualizações indicadas pelos fornecedores e preservar registros antes da correção quando houver suspeita de comprometimento. Para o VeloCloud, a Arista recomenda restringir a interface administrativa a redes confiáveis e procurar acessos inesperados, atividade de saída incomum, serviços persistentes e alterações administrativas não reconhecidas.