أدرجت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) في 23 أكتوبر 2026 ثغرتين أمنيتين حرجتين ضمن فهرس الثغرات المستغلة فعلياً (KEV). تتعلق الثغرة الأولى بخلل حقن SQL في نظام VeloCloud Orchestrator التابع لشركة Arista، وتستهدف الثغرة الثانية حقن أوامر في تطبيق Collabora Online المدمج ضمن منصة Nextcloud.
تؤثر الثغرة الأولى (CVE-2026-114625 بتقييم CVSS عند 9.9) في النسخ المحلية (On-Prem) من VeloCloud Orchestrator، والتي تعرف اختصاراً بـ VCO. وأصدرت شركة Arista النشرة الأمنية رقم 0199 في 22 أكتوبر 2026 لتوضيح هذا الخلل المصنف كحقن SQL ضمن فئة (CWE-89). وتتيح هذه الثغرة للمهاجم عن بعد الوصول إلى وظائف داخلية مميزة والتأثير المباشر في خادم النظام، حيث يمتلك أي مستخدم مصادق القدرة على كسب صلاحيات مشغل وانتحال حساب المشغل المحلي الأعلى صلاحية.
يتطلب الاستغلال الناجح وصولاً شبكياً إلى واجهة الويب في نظام VCO مع وجود جلسة مصادقة صالحة، وتكفي صلاحية Enterprise Read Only كحد أدنى لتنفيذ الهجوم. وتؤكد Arista رصدها لاستغلال الثغرة فعلياً دون نسب النشاط إلى فاعل تهديد محدد، مكتفية بنشر عنواني IP لمراقبتهما. وتذكر أن واجهة النظام مكشوفة بشكل افتراضي دون توافر إعدادات استباقية لمنع ذلك.
تشمل النسخ المتأثرة الفرع 5.2 للإصدارات الأقدم من 5.2.3.18، والفرع 6.1 للإصدارات الأقدم من 6.1.3.10، والفرع 6.4 للإصدارات الأقدم من 6.4.2.12، وتمثل هذه الإصدارات الحديثة النسخ المرقعة. وتعتبر النسخ المستضافة والمخصصة مرقعة مسبقاً، بينما لم تخضع الإصدارات المنتهية الدعم لأي تقييم. وتوصي Arista، ريثما تتم الترقية، بحصر الوصول إلى واجهة الويب ضمن شبكات الإدارة الموثوقة، ومراقبة حركة البيانات الصادرة من خادم VCO، ومراجعة سجلات الوصول ونشاط المسؤولين، والبحث عن أي أبواب خلفية.
تكمن الثغرة الثانية (CVE-2026-110447 بتقييم CVSS عند 9.2) في تطبيق Collabora Online Built-in CODE Server المعروف بـ richdocumentscode والعامل داخل بيئة Nextcloud. وأوضحت نشرة Collabora الصادرة في 14 أكتوبر 2026 أن الثغرة تصنف كحقن أوامر نظام التشغيل ضمن فئة (CWE-78). ويكفي إرسال طلب إلى ملف proxy.php لتشغيل أمر على النظام بصلاحيات مستخدم خادم الويب، دون الحاجة إلى مصادقة أو تفاعل من المستخدم، ويقتصر نجاح ذلك على حالة توقف خادم CODE المدمج، كحالات ما بعد إعادة تشغيل الحاوية، أو الترقية، أو انهيار الخدمة.
تطال الثغرة إصدارات التطبيق السابقة للنسخة 26.4.303 التي تعد الإصدار المصلح للخلل، ولا يتوفر أي حل بديل مؤقت. وتؤكد Collabora أن تعطيل التطبيق لا يمنع الاستغلال، ويجب ترقيته إلى النسخة الحديثة أو إزالته بالكامل، بينما تبقى خوادم Collabora Online المستقلة غير متأثرة. ولم ترصد الشركة استغلالاً فعلياً للثغرة، وجاء تأكيد الاستغلال عبر إدراج وكالة CISA لها في فهرس الثغرات المستغلة، مستندة في توجيهاتها إلى التوجيه التشغيلي الملزم BOD 26-04 المخصص للوكالات الفيدرالية المدنية.
