La CISA alerte sur des exploits actifs dans Collabora Online et Arista VeloCloud

L'Agence américaine de la cybersécurité et de la sécurité des infrastructures (CISA) a signalé deux failles de sécurité critiques nécessitant une attention immédiate après avoir confirmé qu'elles sont activement exploitées par des acteurs malveillants. Le vendredi 24 octobre 2026, l'agence a ajouté au catalogue des vulnérabilités connues et exploitées (Known Exploited Vulnerabilities - KEV) des failles affectant le serveur CODE intégré de Collabora Online et l'orchestrateur Arista VeloCloud. Cette désignation indique que les attaques sont en cours et incite les organisations à prioriser la remédiation.

Ce qui s'est passé

La première vulnérabilité, identifiée sous CVE-2026-110447, affecte le serveur CODE intégré de Collabora Online, souvent désigné sous le nom de richdocumentscode, lorsqu'il est intégré à la plateforme Nextcloud. Cette faille est un problème d'injection de commandes système avec un score de sévérité CVSS de 9,2. Elle permet l'exécution de code à distance via le composant "proxy.php", spécifiquement lorsque le serveur local de documents CODE n'est pas actif. L'éditeur a publié un correctif en septembre 2026 avec la version 26.4.303, mais les instances non corrigées restent à haut risque.

Les attaquants exploitent cette faiblesse pour installer des web shells sur des serveurs Nextcloud compromis. Une fois à l'intérieur, ils effectuent des opérations de reconnaissance pour localiser des données sensibles, y compris des magasins d'identifiants, des artefacts de gestionnaires de mots de passe et des portefeuilles de cryptomonnaies. Ce schéma suggère des acteurs motivés par des gains financiers ou des groupes d'espionnage cherchant un accès persistant et des actifs numériques précieux stockés dans des environnements auto-hébergés.

La seconde faille, CVE-2026-114625, impacte les installations sur site de l'orchestrateur Arista VeloCloud (VCO). Avec un score CVSS quasi parfait de 9,9, cette vulnérabilité d'injection SQL permet aux attaquants distants d'accéder à des fonctions internes privilégiées. L'exploitation nécessite un accès réseau à l'interface web du VCO et une session authentifiée valide, le rôle minimal requis étant "Enterprise Read Only". Arista a corrigé ce problème en octobre 2026 via les versions 5.2.3.18, 6.1.3.10 et 6.4.2.12.

Détails clés

• CVE-2026-110447 (CVSS 9,2) permet l'exécution de code à distance dans le serveur CODE intégré de Collabora Online pour Nextcloud si le serveur local est hors service.
• Les acteurs malveillants utilisent cette faille pour déployer des web shells et rechercher des identifiants, des données de gestionnaires de mots de passe et des portefeuilles crypto sur les instances Nextcloud.
• CVE-2026-114625 (CVSS 9,9) est un bug d'injection SQL dans l'orchestrateur Arista VeloCloud permettant l'accès à des fonctionnalités internes privilégiées.
• L'exploitation de la faille Arista nécessite un accès réseau et une session valide avec au moins les permissions "Enterprise Read Only".
• Arista a identifié deux adresses IP liées à cette activité : 74.82.197[.]86 et 38.54.50[.]151, toutes deux géolocalisées au Japon.
• Les agences fédérales civiles exécutives doivent appliquer les correctifs avant le 26 octobre 2026, bien que tous les utilisateurs devraient patcher immédiatement.

Contexte

Le catalogue des vulnérabilités connues et exploitées (KEV) de la CISA sert de liste définitive des failles que les adversaires utilisent activement lors d'attaques réelles. Contrairement aux risques théoriques, les entrées du catalogue KEV représentent des dangers immédiats où le code d'exploit circule et où des violations réussies se produisent. Pour les responsables informatiques, ce catalogue aide à prioriser les efforts de correction en mettant en évidence les vulnérabilités qui constituent la menace imminente la plus grave pour l'infrastructure.

L'injection de commandes et l'injection SQL sont des vecteurs d'attaque classiques. L'injection de commandes permet à un attaquant d'exécuter des commandes système arbitraires sur le serveur hôte, prenant ainsi le contrôle de la machine. L'injection SQL manipule les requêtes de base de données, pouvant potentiellement exposer ou modifier des données sensibles. Dans des environnements auto-hébergés comme Nextcloud ou des outils de réseau d'entreprise comme Arista VCO, ces failles peuvent contourner les défenses périmétriques si l'application elle-même est vulnérable.

Pourquoi c'est important

Pour les équipes gérant des logiciels auto-hébergés, cet incident souligne la charge opérationnelle liée au maintien de stacks complexes. Nextcloud est un choix populaire pour les organisations cherchant à contrôler leurs données, mais l'intégration de composants supplémentaires comme Collabora Online introduit de nouvelles surfaces d'attaque. Lorsqu'un sous-composant comme le serveur CODE tombe en panne ou est mal configuré, il peut ouvrir des voies critiques pour les attaquants. Cela met en évidence la nécessité d'une surveillance rigoureuse de tous les services intégrés, et pas seulement de la plateforme principale.

La vulnérabilité Arista démontre que même les utilisateurs authentifiés disposant de permissions de bas niveau peuvent devenir des points d'entrée pour des violations graves. L'exigence d'un accès uniquement "Enterprise Read Only" signifie que des comptes employés compromis ou des succès de phishing pourraient conduire à une compromission complète du système. Cela renforce le principe du moindre privilège et l'importance de sécuriser les sessions utilisateur et de surveiller les comportements anormaux provenant de comptes à faible privilège.

De plus, la succession rapide de vulnérabilités exploitées dans Arista VCO — trois depuis juillet 2026 — suggère des défis systémiques de sécurité ou une surveillance intense de la part des acteurs malveillants. Les organisations dépendant de ces plateformes doivent supposer qu'elles sont ciblées et maintenir un rythme de correction plus rapide que d'habitude. Retarder les mises à jour, même de quelques jours, peut entraîner des pertes de données significatives ou un accès non autorisé.

Ce que vous pouvez faire

• Vérifiez que votre instance Nextcloud exécute le serveur CODE intégré de Collabora Online version 26.4.303 ou ultérieure pour atténuer CVE-2026-110447.
• Vérifiez si le serveur local de documents CODE fonctionne correctement ; assurez-vous qu'il ne recourt pas inopinément à des méthodes proxy vulnérables.
• Mettez à jour l'orchestrateur Arista VeloCloud vers la version 5.2.3.18, 6.1.3.10 ou 6.4.2.12 immédiatement pour corriger CVE-2026-114625.
• Examinez les logs pour les connexions provenant des adresses IP 74.82.197[.]86 et 38.54.50[.]151, et bloquez-les si le trafic n'est pas légitime.
• Auditez les comptes utilisateurs ayant un accès "Enterprise Read Only" dans Arista VCO et imposez l'authentification multifacteur pour prévenir le détournement de session.
• Scannez les serveurs Nextcloud à la recherche de web shells inconnus ou de processus inhabituels, en particulier les signes d'activités de reconnaissance dans les magasins d'identifiants.