CISA warnt vor Angriffen auf Arista VeloCloud und Collabora unter Nextcloud
Die US-amerikanische Cybersicherheitsbehörde CISA warnt vor bereits beobachteten Angriffen auf Arista VeloCloud Orchestrator und den Collabora Online Built-in CODE Server unter Nextcloud. Die Hinweise wurden am 26. Oktober veröffentlicht. Betroffen sind einerseits ein internetfähiger VeloCloud-Orchestrator, über den Angreifer privilegierte interne Funktionen erreichen können, und andererseits ein Nextcloud-Server, auf dem unauthentifizierte Angreifer Befehle mit den Rechten des Webservers ausführen können.
Arista VeloCloud Orchestrator
Die SQL-Injection-Schwachstelle CVE-2026-114625 betrifft VCO On-Premise und wird laut CISA bereits aus dem Internet angegriffen. Angreifer können sich unbefugt Zugriff auf privilegierte interne Funktionen verschaffen und den Orchestrator manipulieren. Angemeldete Nutzer können sich zudem als „Superuser Operator“ ausgeben. Die Sicherheitslücke ist mit CVSS4 9.4 bewertet und als kritisch eingestuft.
Arista nennt die VCO-Versionen 5.2.3.18, 6.1.3.10 und 6.4.2.12 als fehlerbereinigt. Bis zur Installation des Updates sollte der Zugriff auf vertrauenswürdige Gegenstellen beschränkt werden, etwa über Firewalls und VPN. Arista zufolge sind gehostete VCO-Instanzen bereits abgesichert. Administratoren sollten außerdem nach den genannten Angreifer-IP-Adressen 74.82.197.86 und 38.54.50.151 in ihren Protokollen suchen und diese blockieren.
Collabora CODE Server in Nextcloud
Die zweite von der CISA aufgegriffene Schwachstelle trägt die Kennung CVE-2026-110447. Sie liegt im Code „proxy.php“ des integrierten Collabora Online Built-in CODE Server. Angriffe sind ohne vorherige Authentifizierung möglich, allerdings nur während der Built-in CODE Server nicht läuft, etwa beim Neustart eines Containers, bei einem Upgrade oder nach einem Absturz. Standalone-Collabora-Server sind nicht betroffen.
Das Deaktivieren der Collabora-App schützt laut den Entwicklern nicht vor dem Angriff. Erforderlich ist ein Update auf die fehlerbereinigte App-Version 26.4.303 oder neuer. Diese setzt Nextcloud 30 oder neuer voraus. Betreiber älterer, nicht mehr unterstützter Nextcloud-Versionen bis einschließlich 29 sollen Nextcloud aktualisieren oder die App entfernen.
Im Issue-Tracker von Collabora Online gibt es erste Einträge vom 11. September. Dort berichten Betroffene von Webshells, die über „richdocumentscode“ auf Nextcloud-Servern installiert worden seien. Betreiber mit installierter Collabora-App sollten ihre Systeme deshalb auf Einbruchsspuren untersuchen und das Update nachholen, falls es noch fehlt. Wie viele Systeme insgesamt betroffen sind und wie die beobachteten Angriffe im Einzelnen ablaufen, ist nicht bekannt.