Már kihasználják a VeloCloud kritikus hibáját, javítás vár a Nextcloud-appra is
A CISA szerint már támadják a saját üzemeltetésű Arista VeloCloud Orchestrator kritikus hibáját, amellyel bejelentkezett felhasználók emelt jogosultságot szerezhetnek. Közben a Nextcloud egyik Collabora-alkalmazásának sebezhetőségével is visszaélnek: ennél az app egyszerű letiltása nem véd, javított kiadásra kell váltani.
Fontos
Aktívan kihasznált, kritikus: CVSS 9.4
Belső funkciókhoz férhetnek hozzá a VeloCloud támadói
A CVE-2026-114625 jelű SQL-injection sebezhetőség a saját üzemeltetésű VeloCloud Orchestrator rendszert érinti. Bejelentkezett felhasználók helyi „superuser operator” szerepkört vehetnek fel, és olyan belső funkciókat érhetnek el, amelyeket nem távoli hozzáférésre szántak.
A sikeres támadás veszélyeztetheti a vezérlőrendszer és az általa kezelt adatok bizalmasságát, sértetlenségét és rendelkezésre állását. A hiba CVSS-értéke 9,4, vagyis kritikus. A mutató a műszaki súlyosságot jelzi, nem a kihasználás tényét; utóbbit itt a CISA figyelmeztetése támasztja alá.
A hatóság 2026. október 23-án vette fel a sebezhetőséget a bizonyítottan kihasznált hibák listájára. Az ott szereplő október 26-i javítási határidő az amerikai szövetségi szerveknek szól, nem általános magyarországi kötelezettség.
A VCO javításáig korlátozni kell a hálózati hozzáférést
Az Arista közleménye alapján a VCO 5.2.3.18, 6.1.3.10 és 6.4.2.12 kiadása tartalmazza a javítást. A szolgáltató által üzemeltetett példányokat a vállalat már biztosította.
A VCO alapértelmezésben elérhető a hálózaton. A beszámoló szerint nincs olyan konfigurációs beállítás, amely önmagában mérsékelné a sebezhetőséget. A javítás telepítéséig ezért a hozzáférést megbízható kapcsolódási pontokra kell szűkíteni, például tűzfallal és virtuális magánhálózattal, azaz VPN használatával.
A támadások pontos menete és kiterjedése a forrás szerint nem ismert. Az Arista ugyanakkor támadói IP-címeket is megadott: ezek blokkolását és naplóbeli keresését javasolja az esetleges behatolás felderítéséhez.
A Nextcloud-app letiltva is támadható marad
A másik figyelmeztetés a Nextcloud alkalmazásaként telepíthető Collabora Online Built-in CODE Server összetevőről szól. A CVE-2026-110447 jelű, 9,2-es CVSS-értékű hiba előzetes bejelentkezés nélkül teszi lehetővé operációs rendszernek szóló parancsok befecskendezését. Ezek a webszerver felhasználói fiókjával futnak le.
A sebezhető kód a „proxy.php” fájlban található. A támadás csak akkor működik, amikor a beépített CODE-kiszolgáló nem fut: például a konténer újraindításakor, frissítéskor vagy összeomlás után. Az önálló Collabora Online kiszolgálókat ez a hiba nem érinti.
A fejlesztők szerint az alkalmazás Nextcloud felületén történő letiltása nem nyújt védelmet. A javított app a 26.4.303-as vagy újabb kiadás, amely Nextcloud 30 vagy újabb rendszert igényel. A már nem támogatott, legfeljebb 29-es Nextcloud-verzióknál ezért a rendszer frissítését vagy az alkalmazás eltávolítását javasolják.
Szeptember óta érkeznek beszámolók a Collabora elleni támadásokról
A Collabora Online hibajegykezelőjében 2026. szeptember 11-ig nyúlnak vissza az első érintett bejegyzések. A beszámolók szerint a támadók a „richdocumentscode” alkalmazáson keresztül webshell nevű kódot telepítettek Nextcloud-kiszolgálókra.
A sebezhetőség leírása szeptemberi és októberi aktív kihasználást is rögzít. A forrás ezért az alkalmazást telepítő üzemeltetőknek a behatolás nyomainak keresését és az elmaradt javítás pótlását javasolja.
A cikk mesterséges intelligencia segítségével készült; a szerkesztőség ellenőrizte és jóváhagyta. Impresszum