La Agencia de Ciberseguridad e Infraestructura de EE. UU. (CISA) ha añadido recientemente dos vulnerabilidades que afectan a Collabora Online Built-in CODE Server y Arista VeloCloud Orchestrator (VCO) a su lista de Vulnerabilidades Conocidas Explotadas (KEV), debido a informes de explotación activa en entornos reales. Este tipo de vulnerabilidades no solo representan una amenaza para los sistemas específicos afectados, sino que también tienen implicaciones mucho más amplias para la seguridad de las infraestructuras digitales en general.
Las vulnerabilidades de severidad crítica identificadas son las siguientes:
La primera, CVE-2026-110447, posee una puntuación CVSS de 9.2 y se trata de una vulnerabilidad de inyección de comandos en el sistema operativo que se encuentra en el Collabora Online – Built-in CODE Server (conocido también como richdocumentscode) cuando se utiliza dentro de la plataforma NextCloud. Esta vulnerabilidad podría permitir la ejecución remota de código a través del archivo "proxy.php" en situaciones en las que el servidor de documentos local de CODE no está activo. Se informó que esta vulnerabilidad fue corregida en septiembre de 2026 en la versión 26.4.303.
La segunda vulnerabilidad, CVE-2026-114625, tiene una puntuación CVSS aún más alta de 9.9 y corresponde a una inyección SQL en las versiones locales del Arista VeloCloud Orchestrator. Esta vulnerabilidad podría permitir que un atacante remoto acceda a funcionalidades internas privilegiadas del sistema. La solución a esta vulnerabilidad fue implementada en octubre de 2026 en las versiones 5.2.3.18, 6.1.3.10 y 6.4.2.12.
Según lo informado por The Hacker News, se ha observado que actores de amenazas han estado explotando CVE-2026-110447 para introducir puertas traseras en servidores de NextCloud mediante la instalación de shells web, lo que les permite realizar reconocimientos y buscar almacenes de credenciales, artefactos de gestores de contraseñas y wallets de criptomonedas. Esta práctica pone de manifiesto no solo la peligrosidad de la vulnerabilidad, sino también el alto interés de los atacantes en acceder a información crítica y sensible.
En el caso de CVE-2026-114625, la explotación exitosa requiere que un atacante tenga acceso a la red del interfaz web del VCO y una sesión autenticada válida en el portal VCO. El rol mínimo de usuario necesario para llevar a cabo esta explotación es el de "Enterprise Read Only", lo que implica que incluso usuarios con permisos limitados podrían ser un vector de ataque si sus credenciales son comprometidas.
A pesar de que Arista ha reconocido que la vulnerabilidad es "conocida por estar en explotación activa", la empresa no ha identificado a un actor de amenazas específico ni ha proporcionado detalles técnicos sobre cómo se lleva a cabo la explotación ni qué acciones han tomado los atacantes tras la escalada de privilegios. Además, no se ha dado a conocer el número de organizaciones afectadas, lo que genera incertidumbre en torno al alcance de la amenaza.
No obstante, Arista ha compartido dos direcciones IP geolocalizadas en Japón que parecen estar detrás de la actividad maliciosa relacionada con esta vulnerabilidad. Es preocupante señalar que CVE-2026-114625 es la tercera vulnerabilidad en el mismo producto que ha sido utilizada activamente desde julio de 2026, después de las vulnerabilidades CVE-2026-16812 y CVE-2026-93952, ambas con una puntuación CVSS de 10.0, lo que indica su gravedad crítica.
Dada la explotación activa de estas vulnerabilidades, se recomienda a las agencias de la Rama Ejecutiva Civil Federal (FCEB) que apliquen las correcciones necesarias antes del 26 de octubre de 2026 para asegurar sus redes. Esto subraya la importancia de mantener actualizados los sistemas y aplicar parches de seguridad de manera oportuna, ya que la falta de acción puede resultar en compromisos severos de seguridad que afecten a la integridad de las organizaciones y a la confianza de los usuarios en dichas plataformas. Ante la creciente sofisticación de los ataques cibernéticos, la ciberseguridad debe ser una prioridad tanto para las instituciones gubernamentales como para las empresas privadas.