Bei CVE-2026-110447 (CVSS 9.2) handelt es sich um eine Befehlsinjektion auf Betriebssystemebene im Collabora Online – Built-in CODE Server (auch richdocumentscode), wenn dieser innerhalb der NextCloud-Plattform eingesetzt wird. Angreifer können über „proxy.php" aus der Ferne Code ausführen, sofern der lokale CODE-Dokumentserver nicht läuft. Die Lücke wurde im September 2026 in Version 26.4.303 geschlossen.
Angreifer nutzen CVE-2026-110447, um Nextcloud-Server mit einer Web-Shell zu hintertüren. Darüber betreiben sie Aufklärung und suchen gezielt nach Anmeldedatenspeichern, Artefakten von Passwortmanagern und Kryptowährungs-Wallets.
CVE-2026-114625 (CVSS 9.9) ist eine SQL-Injection in On-Premise-Versionen des Arista VeloCloud Orchestrator, über die ein entfernter Angreifer auf privilegierte interne Funktionen zugreifen kann. Behoben wurde sie im Oktober 2026 in den Versionen 5.2.3.18, 6.1.3.10 und 6.4.2.12. Für eine erfolgreiche Ausnutzung braucht ein Angreifer Netzwerkzugang zur VCO-Weboberfläche sowie eine gültige authentifizierte Sitzung im VCO-Portal; als Mindestrolle genügt „Enterprise Read Only".
Arista hat bestätigt, dass die Schwachstelle „bekanntermaßen aktiv ausgenutzt" wird, die Aktivität aber keinem bestimmten Akteur zugeordnet. Das Unternehmen nennt weder technische Details zum Ablauf der Angriffe noch, welche Schritte die Angreifer nach der Rechteausweitung unternahmen; auch die Zahl betroffener Organisationen bleibt offen. Veröffentlicht wurden lediglich zwei IP-Adressen, die der Aktivität zugeordnet und in Japan verortet werden:
- 74.82.197[.]86
- 38.54.50[.]151
CVE-2026-114625 ist bereits die dritte Schwachstelle in diesem Produkt, die seit Juli 2026 in freier Wildbahn ausgenutzt wird. Zuvor waren CVE-2026-16812 und CVE-2026-93952 betroffen, beide mit dem CVSS-Höchstwert 10.0.