Geri
Nextcloud ve SD-WAN'da istismar edilen iki kritik açık: Collabora CODE ve Arista VeloCloud
CISA, 23 Ekim 2026'da iki kritik açığı istismar edilen açıklar kataloğuna (KEV) ekledi ve federal kurumlara 26 Ekim'e kadar yama süresi verdi. Biri dosya paylaşımı için yaygın kullanılan Nextcloud'daki yerleşik ofis sunucusunu, diğeri şube ağlarını yöneten SD-WAN orkestratörünü etkiliyor.
| Collabora Online — Built-in CODE Server | Arista VeloCloud Orchestrator (VCO) | |
|---|---|---|
| CVE | CVE-2026-110447 | CVE-2026-114625 |
| Tür | İşletim sistemi komut enjeksiyonu (kimlik doğrulamasız) | SQL enjeksiyonu (en az "Enterprise Read Only" yetkili oturum gerekir) |
| CVSS | 9.2 | 9.9 |
| Etkilenen | Nextcloud'un richdocumentscode uygulaması, 26.4.303 öncesi; bağımsız Collabora Online sunucuları etkilenmiyor | Şirket içinde kurulu VCO |
| Düzeltme | 26.4.303 ve sonrası | 5.2.3.18, 6.1.3.10, 6.4.2.12 |
Collabora CODE: Kesinti anında açılan kapı
Açık, yerel ofis sunucusu çalışmıyorken (yeniden başlatma, güncelleme veya çökme sırasında) proxy.php üzerinden komut çalıştırılmasına izin veriyor. Saldırılar 10 Eylül'den beri görülüyor. Saldırganlar uygulama dizinine PHP web shell bıraktı, parola yöneticisi ve kripto cüzdan dosyaları aradı.
- Yapın:
richdocumentscodeuygulamasını 26.4.303 veya sonrasına güncelleyin ya da kaldırın. Üreticiye göre uygulamayı yalnızca devre dışı bırakmak yetmiyor. - Arayın:
apps/richdocumentscode/altındashx*.phpgibi beklenmeyen PHP dosyaları; erişim günlüklerindeproxy.php?statusisteklerinde$(veya${IFS}gibi komut enjeksiyonu izleri; web sunucusu hesabının başarısız sudo denemeleri. - Unutmayın: Yamalı sunucuda da web shell arayın. Web sunucusu hesabının okuyabildiği kimlik bilgilerini sızmış sayıp yenileyin.
Arista VeloCloud: Temmuz'dan bu yana üçüncü istismar edilen açık
Arista, açığın aktif olarak istismar edildiğini doğruladı; bu, VCO'da Temmuz 2026'dan bu yana istismar edilen üçüncü açık. Saldırganın düşük yetkili bir hesapla bile ayrıcalıklı iç işlevlere erişebilmesi, çalınmış bir parolayı çok daha tehlikeli hale getiriyor.
- Yapın: VCO'yu yukarıdaki düzeltilmiş sürümlerden birine geçirin; yönetim arayüzünü internete kapatın, yalnızca yönetim ağından erişilebilir yapın.
- Arayın: Arista'nın paylaştığı 74.82.197[.]86 ve 38.54.50[.]151 adreslerinden gelen bağlantılar; "Read Only" hesapların beklenmeyen etkinliği.
- Unutmayın: Tüm VCO kullanıcı parolalarını ve API anahtarlarını yenileyin, çok faktörlü doğrulamayı zorunlu yapın.
Nokta Guard nasıl yardımcı olur?
Dış ağ ve web uygulaması testlerimizde internete açık yönetim arayüzlerinizi ve dosya paylaşım sunucularınızı tespit ediyor, yama durumunu doğruluyoruz. Bu tabloyu düzenli tutmak için zafiyet yönetimi hizmetimizi kullanabilirsiniz.
İlgili hizmetler: Dış Ağ Sızma Testi, Zafiyet Yönetimi
Kaynaklar: The Hacker News · eSecurity Planet