CISA warnt vor aktiven Exploits in Collabora Online und Arista VeloCloud

Die US-Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) hat nach Bestätigung der aktiven Ausnutzung durch Angreifer zwei kritische Sicherheitslücken zur sofortigen Aufmerksamkeit gemeldet. Am Freitag, den 24. Oktober 2026, fügte die Behörde Schwachstellen, die den Collabora Online Built-in CODE Server und den Arista VeloCloud Orchestrator betreffen, ihrem Katalog bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities, KEV) hinzu. Diese Einstufung signalisiert laufende Angriffe und drängt Organisationen dazu, die Behebung dieser Probleme zu priorisieren.

Was passiert ist

Die erste Schwachstelle, verfolgt als CVE-2026-110447, betrifft den Collabora Online Built-in CODE Server, oft als richdocumentscode bezeichnet, wenn er in die Nextcloud-Plattform integriert ist. Dieser Fehler ist eine Injection von Betriebssystembefehlen mit einem CVSS-Schweregrad von 9,2. Er ermöglicht Remote Code Execution über die Komponente "proxy.php", speziell wenn der lokale CODE-Dokumentenserver nicht läuft. Der Anbieter hat im September 2026 mit Version 26.4.303 einen Fix veröffentlicht, aber unpatched Instanzen bleiben einem hohen Risiko ausgesetzt.

Angreifer nutzen diese Schwäche aus, um Web-Shells auf kompromittierten Nextcloud-Servern zu installieren. Nach dem Eindringen führen sie Reconnaissance-Aktivitäten durch, um sensible Daten zu lokalisieren, einschließlich Credential-Stores, Artefakten von Passwort-Managern und Kryptowährungs-Wallets. Dieses Muster deutet auf finanziell motivierte Akteure oder Spionagegruppen hin, die persistenten Zugriff und wertvolle digitale Assets in selbst gehosteten Umgebungen suchen.

Der zweite Fehler, CVE-2026-114625, betrifft On-Premise-Installationen des Arista VeloCloud Orchestrators (VCO). Mit einem nahezu perfekten CVSS-Score von 9,9 erlaubt diese SQL-Injection-Schwachstelle Remote-Angreifern den Zugriff auf privilegierte interne Funktionen. Die Ausnutzung erfordert Netzwerkzugriff auf die VCO-Weboberfläche und eine gültige authentifizierte Sitzung, wobei die minimal erforderliche Rolle "Enterprise Read Only" ist. Arista hat dies im Oktober 2026 über die Versionen 5.2.3.18, 6.1.3.10 und 6.4.2.12 behoben.

Wichtige Details

• CVE-2026-110447 (CVSS 9,2) ermöglicht Remote Code Execution im Collabora Online Built-in CODE Server für Nextcloud, falls der lokale Server ausgefallen ist.
• Bedrohungsakteure nutzen diesen Fehler, um Web-Shells bereitzustellen und auf Nextcloud-Instanzen nach Credentials, Passwortmanager-Daten und Crypto-Wallets zu suchen.
• CVE-2026-114625 (CVSS 9,9) ist ein SQL-Injection-Fehler im Arista VeloCloud Orchestrator, der Zugriff auf privilegierte interne Funktionalitäten gewährt.
• Die Ausnutzung des Arista-Fehlers erfordert Netzwerkzugriff und eine gültige Sitzung mit mindestens "Enterprise Read Only"-Berechtigungen.
• Arista identifizierte zwei IP-Adressen, die mit der Aktivität verknüpft sind: 74.82.197[.]86 und 38.54.50[.]151, beide geolokalisiert in Japan.
• Agenturen des Federal Civilian Executive Branch müssen Fixes bis zum 26. Oktober 2026 anwenden, obwohl alle Nutzer sofort patchen sollten.

Hintergrund

Der Known Exploited Vulnerabilities (KEV)-Katalog der CISA dient als definitive Liste von Schwachstellen, die Gegner aktiv bei realen Angriffen nutzen. Im Gegensatz zu theoretischen Risiken repräsentieren Einträge im KEV-Katalog unmittelbare Gefahren, bei denen Exploit-Code zirkuliert und erfolgreiche Kompromittierungen stattfinden. Für IT-Leiter hilft dieser Katalog dabei, Patching-Bemühungen zu priorisieren, indem er hervorhebt, welche Schwachstellen die größte unmittelbare Bedrohung für die Infrastruktur darstellen.

Command Injection und SQL Injection sind klassische Angriffsvektoren. Command Injection ermöglicht es einem Angreifer, beliebige Systembefehle auf dem Host-Server auszuführen und effektiv die Kontrolle über die Maschine zu übernehmen. SQL Injection manipuliert Datenbankabfragen und kann potenziell sensible Daten offenlegen oder ändern. In selbst gehosteten Umgebungen wie Nextcloud oder Enterprise-Networking-Tools wie Arista VCO können diese Fehler Perimeter-Verteidigungen umgehen, wenn die Anwendung selbst verwundbar ist.

Warum das wichtig ist

Für Teams, die selbst gehostete Software betreiben, unterstreicht dieser Vorfall die operative Belastung bei der Wartung komplexer Stacks. Nextcloud ist eine beliebte Wahl für Organisationen, die die Kontrolle über ihre Daten behalten möchten, aber die Integration zusätzlicher Komponenten wie Collabora Online führt neue Angriffsflächen ein. Wenn eine Unterkomponente wie der CODE-Server ausfällt oder falsch konfiguriert ist, können kritische Wege für Angreifer geöffnet werden. Dies hebt die Notwendigkeit einer strengen Überwachung aller integrierten Dienste hervor, nicht nur der Kernplattform.

Die Arista-Schwachstelle zeigt, dass sogar authentifizierte Benutzer mit niedrigen Berechtigungen Einstiegspunkte für schwere Kompromittierungen sein können. Die Anforderung von nur "Enterprise Read Only"-Zugriff bedeutet, dass kompromittierte Mitarbeiterkonten oder erfolgreiche Phishing-Angriffe zur vollständigen Systemkompromittierung führen könnten. Dies bekräftigt das Prinzip der geringsten Rechte (Least Privilege) und die Bedeutung der Sicherung von Benutzersitzungen sowie der Überwachung auf anomales Verhalten von Konten mit niedrigen Rechten.

Darüber hinaus deutet die rasche Abfolge ausgenutzter Schwachstellen im Arista VCO – drei seit Juli 2026 – auf systemische Sicherheitsprobleme oder intensive Beobachtung durch Bedrohungsakteure hin. Organisationen, die sich auf diese Plattformen verlassen, müssen davon ausgehen, dass sie Ziel sind, und eine schnellere Patch-Rhythmus als üblich beibehalten. Selbst eine Verzögerung von Updates um wenige Tage kann zu erheblichem Datenverlust oder unbefugtem Zugriff führen.

Was Sie tun können

• Stellen Sie sicher, dass Ihre Nextcloud-Instanz Collabora Online Built-in CODE Server Version 26.4.303 oder neuer ausführt, um CVE-2026-110447 zu mitigieren.
• Prüfen Sie, ob der lokale CODE-Dokumentenserver korrekt läuft; stellen Sie sicher, dass er nicht unerwartet auf verwundbare Proxy-Methoden zurückgreift.
• Aktualisieren Sie den Arista VeloCloud Orchestrator sofort auf Version 5.2.3.18, 6.1.3.10 oder 6.4.2.12, um CVE-2026-114625 zu patchen.
• Überprüfen Sie Logs auf Verbindungen von den IP-Adressen 74.82.197[.]86 und 38.54.50[.]151 und blockieren Sie diese, wenn es sich nicht um legitimen Traffic handelt.
• Auditieren Sie Benutzerkonten mit "Enterprise Read Only"-Zugriff in Arista VCO und erzwingen Sie Multi-Faktor-Authentifizierung, um Session-Hijacking zu verhindern.
• Scannen Sie Nextcloud-Server auf unbekannte Web-Shells oder ungewöhnliche Prozesse, insbesondere auf Anzeichen von Reconnaissance-Aktivitäten in Credential-Stores.