CISA advierte de exploits activos en Collabora Online y Arista VeloCloud

La Agencia de Ciberseguridad e Infraestructura de Estados Unidos (CISA) ha señalado dos fallos de seguridad críticos que requieren atención inmediata tras confirmar que están siendo explotados activamente por actores de amenazas. El viernes 24 de octubre de 2026, la agencia añadió al catálogo de Vulnerabilidades Explotadas Conocidas (KEV) las vulnerabilidades que afectan a Collabora Online Built-in CODE Server y a Arista VeloCloud Orchestrator. Esta designación indica que los ataques están en curso y urge a las organizaciones a priorizar la remediación.

Qué ocurrió

La primera vulnerabilidad, identificada como CVE-2026-110447, afecta a Collabora Online Built-in CODE Server, a menudo denominado richdocumentscode, cuando se integra con la plataforma Nextcloud. Este fallo es un problema de inyección de comandos del sistema operativo con una puntuación de severidad CVSS de 9.2. Permite la ejecución remota de código a través del componente "proxy.php", específicamente cuando el servidor local de documentos CODE no está en funcionamiento. El proveedor lanzó una corrección en septiembre de 2026 con la versión 26.4.303, pero las instancias sin parchear siguen estando en alto riesgo.

Los atacantes están aprovechando esta debilidad para instalar web shells en servidores Nextcloud comprometidos. Una vez dentro, realizan reconocimiento para localizar datos sensibles, incluyendo almacenes de credenciales, artefactos de gestores de contraseñas y billeteras de criptomonedas. Este patrón sugiere la presencia de actores motivados financieramente o grupos de espionaje que buscan acceso persistente y activos digitales valiosos almacenados en entornos autoalojados.

El segundo fallo, CVE-2026-114625, impacta a las instalaciones locales (on-premise) de Arista VeloCloud Orchestrator (VCO). Con una puntuación CVSS casi perfecta de 9.9, esta vulnerabilidad de inyección SQL permite a atacantes remotos acceder a funciones internas privilegiadas. La explotación requiere acceso a la red a la interfaz web de VCO y una sesión autenticada válida, siendo el rol mínimo requerido Enterprise Read Only. Arista abordó este problema en octubre de 2026 mediante las versiones 5.2.3.18, 6.1.3.10 y 6.4.2.12.

Detalles clave

• CVE-2026-110447 (CVSS 9.2) habilita la ejecución remota de código en Collabora Online Built-in CODE Server para Nextcloud si el servidor local está caído.
• Los actores de amenazas utilizan este fallo para desplegar web shells y buscar credenciales, datos de gestores de contraseñas y billeteras de criptomonedas en instancias de Nextcloud.
• CVE-2026-114625 (CVSS 9.9) es un bug de inyección SQL en Arista VeloCloud Orchestrator que permite el acceso a funcionalidad interna privilegiada.
• Explotar el fallo de Arista requiere acceso a la red y una sesión válida con permisos mínimos de Enterprise Read Only.
• Arista identificó dos direcciones IP vinculadas a la actividad: 74.82.197[.]86 y 38.54.50[.]151, ambas geolocalizadas en Japón.
• Las agencias del Federal Civilian Executive Branch deben aplicar las correcciones antes del 26 de octubre de 2026, aunque todos los usuarios deberían parchear inmediatamente.

Antecedentes

El catálogo de Vulnerabilidades Explotadas Conocidas (KEV) de CISA sirve como una lista definitiva de fallos que los adversarios están utilizando activamente en ataques reales. A diferencia de los riesgos teóricos, las entradas en el catálogo KEV representan peligros inmediatos donde circula código de exploit y se están produciendo brechas exitosas. Para los líderes de TI, este catálogo ayuda a priorizar los esfuerzos de parcheo destacando qué vulnerabilidades suponen la mayor amenaza inminente para la infraestructura.

La inyección de comandos y la inyección SQL son vectores de ataque clásicos. La inyección de comandos permite a un atacante ejecutar comandos arbitrarios del sistema en el servidor anfitrión, tomando efectivamente el control de la máquina. La inyección SQL manipula consultas de bases de datos, pudiendo exponer o modificar datos sensibles. En entornos autoalojados como Nextcloud o herramientas de redes empresariales como Arista VCO, estos fallos pueden eludir las defensas perimetrales si la aplicación misma es vulnerable.

Por qué importa

Para los equipos que ejecutan software autoalojado, este incidente subraya la carga operativa de mantener stacks complejos. Nextcloud es una opción popular para organizaciones que buscan controlar sus datos, pero la integración de componentes adicionales como Collabora Online introduce nuevas superficies de ataque. Cuando un subcomponente como el servidor CODE falla o está mal configurado, puede abrir vías críticas para los atacantes. Esto destaca la necesidad de un monitoreo riguroso de todos los servicios integrados, no solo de la plataforma central.

La vulnerabilidad de Arista demuestra que incluso los usuarios autenticados con permisos de bajo nivel pueden convertirse en puntos de entrada para brechas graves. El requisito de solo acceso "Enterprise Read Only" significa que cuentas de empleados comprometidas o éxitos de phishing podrían conducir a la compromisión total del sistema. Esto refuerza el principio de menor privilegio y la importancia de asegurar las sesiones de usuario y monitorizar comportamientos anómalos desde cuentas de bajo privilegio.

Además, la rápida sucesión de vulnerabilidades explotadas en Arista VCO —tres desde julio de 2026— sugiere desafíos sistémicos de seguridad o una intensa vigilancia por parte de los actores de amenazas. Las organizaciones que dependen de estas plataformas deben asumir que son objetivo y mantener una cadencia de parcheo más rápida de lo habitual. Retrasar las actualizaciones incluso por días puede resultar en pérdida significativa de datos o acceso no autorizado.

Qué puedes hacer

• Verifica que tu instancia de Nextcloud ejecute Collabora Online Built-in CODE Server versión 26.4.303 o posterior para mitigar CVE-2026-110447.
• Comprueba si el servidor local de documentos CODE está funcionando correctamente; asegúrate de que no recurra inesperadamente a métodos proxy vulnerables.
• Actualiza Arista VeloCloud Orchestrator a la versión 5.2.3.18, 6.1.3.10 o 6.4.2.12 inmediatamente para parchear CVE-2026-114625.
• Revisa los registros buscando conexiones desde las direcciones IP 74.82.197[.]86 y 38.54.50[.]151, y bloquéelas si no son tráfico legítimo.
• Audita las cuentas de usuario con acceso Enterprise Read Only en Arista VCO y aplica autenticación multifactor para prevenir el secuestro de sesiones.
• Escanea los servidores Nextcloud en busca de web shells desconocidos o procesos inusuales, prestando especial atención a señales de actividad de reconocimiento en almacenes de credenciales.