La Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos (CISA) incorporó el viernes a su catálogo de vulnerabilidades explotadas conocidas (KEV, por sus siglas en inglés) dos fallos críticos que afectan a Collabora Online Built-in CODE Server y a Arista VeloCloud Orchestrator (VCO), tras recibir informes sobre su aprovechamiento activo en entornos reales.
Detalle de las vulnerabilidades
- CVE-2026-110447 (puntuación CVSS de 9.2): inyección de comandos del sistema operativo en Collabora Online – Built-in CODE Server (también conocido como richdocumentscode) cuando se utiliza dentro de la plataforma NextCloud. El fallo podría permitir la ejecución remota de código a través de "proxy.php" cuando el servidor local de documentos CODE no está en funcionamiento. Se corrigió en septiembre de 2026 con la versión 26.4.303.
- CVE-2026-114625 (puntuación CVSS de 9.9): inyección SQL en las versiones locales de Arista VeloCloud Orchestrator que podría permitir a un atacante remoto acceder a funciones internas privilegiadas. Se corrigió en octubre de 2026 en las versiones 5.2.3.18, 6.1.3.10 y 6.4.2.12.
Según informó The Hacker News, se ha observado a actores de amenazas explotando CVE-2026-110447 para instalar puertas traseras mediante una web shell en servidores Nextcloud, con el fin de realizar tareas de reconocimiento y buscar almacenes de credenciales, datos de gestores de contraseñas y carteras de criptomonedas.
En cuanto a CVE-2026-114625, para explotarla con éxito el atacante necesita acceso de red a la interfaz web del VCO y una sesión autenticada válida en el portal del VCO. El rol de usuario mínimo requerido es Enterprise Read Only.
Aunque Arista ha reconocido que la vulnerabilidad se está explotando activamente, no ha atribuido la actividad a un actor de amenazas concreto ni ha ofrecido detalles técnicos sobre cómo se aprovecha el fallo ni sobre las acciones que realizaron los atacantes tras escalar privilegios. La empresa tampoco ha revelado el número de organizaciones afectadas.
No obstante, ha compartido dos direcciones IP geolocalizadas en Japón como responsables de impulsar la actividad:
- 74.82.197[.]86
- 38.54.50[.]151
CVE-2026-114625 es la tercera vulnerabilidad del mismo producto que se ha armamentizado en el mundo real desde julio de 2026, después de CVE-2026-16812 (puntuación CVSS de 10.0) y CVE-2026-93952 (puntuación CVSS de 10.0).
Ante la explotación activa, se recomienda a las agencias federales del poder ejecutivo civil (FCEB) aplicar las correcciones antes del 26 de octubre de 2026 para proteger sus redes.
Acerca del autor
