防暴筆記BREACH NOTES
新聞稿拆解

CISA 標記兩個已遭利用的漏洞：Nextcloud 與 Arista VeloCloud

防暴筆記編輯部
新聞稿拆解

美國 CISA 於 2026 年 10 月 24 日將兩個正在被主動利用的漏洞加入已知被利用漏洞清單（KEV）：Collabora Online（NextCloud 平台上的 CODE Server）的作業系統命令注入漏洞 CVE-2026-110447,以及 Arista VeloCloud Orchestrator 內部部署版本的 SQL 注入漏洞 CVE-2026-114625。攻擊者已被觀察到利用 CVE-2026-110447 在 Nextcloud 伺服器植入 web shell,進行偵察並搜尋憑證儲存、密碼管理器與加密貨幣錢包。CVE-2026-114625 需要攻擊者已有有效的 VCO 認證 session（最低權限為 Enterprise Read Only）與網路存取,Arista 確認正在被主動利用但未公開技術細節與受影響組織數量,只分享兩個來自日本的攻擊來源 IP。

30 秒看懂
  • CISA 於 2026 年 10 月 24 日將兩個 critical 漏洞加入 KEV：CVE-2026-110447（Collabora Online 命令注入,CVSS 9.2）與 CVE-2026-114625（Arista VeloCloud SQL 注入,CVSS 9.9）,兩者都已被確認正在被主動利用。
  • CVE-2026-110447 在 NextCloud 平台上的 Collabora Online Built-in CODE Server（richdocumentscode）中,透過 proxy.php 在 CODE local document server 未執行時觸發,允許遠端程式碼執行。攻擊者已被觀察到植入 web shell,進行偵察並搜尋憑證儲存、密碼管理器與加密貨幣錢包。修補版本 26.4.303 於 2026 年 9 月發布。
  • CVE-2026-114625 在 VeloCloud Orchestrator 內部部署版本中,允許遠端攻擊者透過 SQL 注入存取特權內部功能。需要攻擊者有網路存取與有效認證 session（最低權限為 Enterprise Read Only）。Arista 確認正在被主動利用但未公開技術細節,分享兩個來自日本的攻擊 IP。修補版本於 2026 年 10 月發布。

發生了什麼

2026 年 10 月 24 日,美國網路安全暨基礎設施安全局（CISA）將兩個正在被主動利用的 critical 漏洞加入其已知被利用漏洞清單（KEV, Known Exploited Vulnerabilities）,要求聯邦機構在 2026 年 10 月 26 日前修補。

這兩個漏洞分別影響協作辦公平台與 SD-WAN 管理系統:

CVE-2026-110447（CVSS 評分 9.2）：Collabora Online Built-in CODE Server（套件名稱 richdocumentscode）在 NextCloud 平台上使用時的作業系統命令注入漏洞。攻擊者透過 proxy.php 在 CODE local document server 未執行時執行遠端程式碼。修補版本 26.4.303 於 2026 年 9 月發布。

CVE-2026-114625（CVSS 評分 9.9）：Arista VeloCloud Orchestrator（VCO）內部部署版本的 SQL 注入漏洞。攻擊者能存取特權內部功能。需要攻擊者有網路存取與有效認證 session（最低權限為 Enterprise Read Only）。修補版本於 2026 年 10 月發布（5.2.3.18、6.1.3.10、6.4.2.12）。

CVE-2026-110447：Nextcloud 平台上的命令注入

Collabora Online 是一個開源的協作辦公套件,能在瀏覽器中編輯文件、試算表與簡報。Built-in CODE Server（richdocumentscode）是讓 Nextcloud 能直接內建 Collabora 文件伺服器的套件。

這個漏洞在 proxy.php 中,當 CODE local document server 未執行時能被觸發,讓攻擊者執行作業系統命令。The Hacker News 報導,威脅行為者已被觀察到利用這個漏洞在 Nextcloud 伺服器植入 web shell,進行偵察並搜尋高價值目標:

  • 憑證儲存（credential stores）
  • 密碼管理器檔案（password manager artifacts）
  • 加密貨幣錢包（cryptocurrency wallets）

這個漏洞只影響在 NextCloud 平台上使用 Collabora Online Built-in CODE Server 的部署。獨立的 Collabora Online 部署不受影響。

CVE-2026-114625：VeloCloud 的 SQL 注入

Arista VeloCloud Orchestrator（VCO）是 Arista 的 SD-WAN 管理平台,用於集中管理與監控 VeloCloud Edge 設備。這個漏洞只影響內部部署版本,不影響雲端版本。

SQL 注入漏洞讓遠端攻擊者能存取「特權內部功能」（privileged internal functionality）。但要成功利用,攻擊者需要:

  • 網路存取 VCO web 介面
  • 有效的認證 session（最低權限為 Enterprise Read Only）

Arista 確認這個漏洞「已知正在被主動利用」,但未提供:

  • 攻擊的技術細節
  • 攻擊者取得權限升級後做了什麼
  • 受影響的組織數量

Arista 只分享兩個攻擊來源 IP,地理位置在日本:

  • 74.82.197[.]86
  • 38.54.50[.]151

這是 VeloCloud 今年第三個被利用的漏洞

CVE-2026-114625 是 VeloCloud Orchestrator 自 2026 年 7 月以來第三個被武器化的漏洞:

  • CVE-2026-16812（CVSS 10.0）
  • CVE-2026-93952（CVSS 10.0）
  • CVE-2026-114625（CVSS 9.9）

前兩個漏洞也都被加入 CISA KEV,顯示 VeloCloud Orchestrator 是高價值目標。

CISA 的要求

因為主動利用報告,CISA 要求聯邦民間行政部門（Federal Civilian Executive Branch, FCEB）機構在 2026 年 10 月 26 日前修補這兩個漏洞。

這個時程給機構 2 天時間從 CISA 公告日（10 月 24 日）到截止日。

你可以學到什麼

站在攻擊者的角度:協作平台（Nextcloud + Collabora）與 SD-WAN 管理平台（VeloCloud Orchestrator）都是高價值目標。植入 web shell 後可以偵察整個伺服器的憑證與錢包;取得 VCO 的 SQL 注入後可以升級到特權內部功能,但 Arista 沒說那是什麼。兩個漏洞都已修補數週,但仍被主動利用,顯示許多部署尚未更新。

lessons本案的 7 個教訓
  1. 01
    協作平台是憑證與錢包的寶庫：攻擊者植入 web shell 後搜尋憑證儲存、密碼管理器與加密貨幣錢包,這些高價值目標可能存放在協作平台的伺服器上。
  2. 02
    SD-WAN 管理平台是集中控制點：VeloCloud Orchestrator 管理所有 Edge 設備,取得 VCO 的存取權就能影響整個 SD-WAN 拓撲。
  3. 03
    有效認證 session 降低了利用門檻：CVE-2026-114625 需要有效 session,但最低權限只需 Enterprise Read Only,顯示低權限帳號也可能被用於攻擊鏈的一部分。
  4. 04
    修補後仍被利用顯示部署延遲：CVE-2026-110447 在 9 月修補,CVE-2026-114625 在 10 月修補,但 10 月 24 日仍被主動利用,顯示許多部署尚未更新。
  5. 05
    VeloCloud 今年三個漏洞都被利用顯示其為高價值目標：三個 CVSS 9.9–10.0 的漏洞在數個月內相繼被武器化,顯示攻擊者持續鎖定這個平台。
  6. 06
    攻擊來源 IP 的地理位置不等於攻擊者身分：Arista 分享兩個來自日本的 IP,但這可能是跳板或代理,不代表攻擊者位於日本。
  7. 07
    廠商不公開技術細節與受害者數量的原因：Arista 確認正在被利用但未公開細節,可能是避免揭露受害者或提供更多利用資訊給其他攻擊者。
keywords重點學習：最需要學習的 10 個關鍵字10 個
  1. 01
    CVE-2026-110447
    Collabora Online Built-in CODE Server（richdocumentscode）在 NextCloud 平台上的命令注入漏洞,CVSS 9.2。
  2. 02
    CVE-2026-114625
    Arista VeloCloud Orchestrator 內部部署版本的 SQL 注入漏洞,CVSS 9.9。
  3. 03
    CISA KEV
    美國 CISA 的已知被利用漏洞清單,要求聯邦機構優先修補這些漏洞。
  4. 04
    Collabora Online
    開源協作辦公套件,能在瀏覽器中編輯文件、試算表與簡報。
  5. 05
    richdocumentscode
    Nextcloud 套件,提供 Collabora Online Built-in CODE Server 功能,這次漏洞的受影響元件。
  6. 06
    proxy.php
    CVE-2026-110447 的觸發點,在 CODE local document server 未執行時允許命令注入。
  7. 07
    VeloCloud Orchestrator（VCO）
    Arista 的 SD-WAN 管理平台,集中管理與監控 VeloCloud Edge 設備。
  8. 08
    Enterprise Read Only
    VCO 的最低權限角色,CVE-2026-114625 的利用只需這個權限級別的有效 session。
  9. 09
    web shell
    攻擊者植入的後門程式,允許遠端執行命令。CVE-2026-110447 的攻擊者用它進行偵察與搜尋憑證。
  10. 10
    特權內部功能（Privileged Internal Functionality）
    CVE-2026-114625 允許攻擊者存取的目標,但 Arista 未公開具體是什麼功能。

下面的步驟全部唯讀,做完你會知道你的系統是否受影響、是否已修補、是否有可疑活動。

try today今天就可以來試試約 15 分鐘

全部唯讀，不改任何設定；做完你會知道自己有沒有同樣的破口。

  1. 檢查 Nextcloud 是否安裝 richdocumentscode 套件
    在 Nextcloud 管理介面檢視已安裝應用程式,或檢查 apps/ 目錄
    看到什麼代表什麼：如果安裝了 Collabora Online Built-in CODE Server（richdocumentscode）,需要檢查版本。
  2. 確認 richdocumentscode 的版本
    看到什麼代表什麼：修補版本：26.4.303 或更新。若版本較舊,需要立即更新。
  3. 檢查 VeloCloud Orchestrator 的版本
    看到什麼代表什麼：修補版本：5.2.3.18、6.1.3.10、6.4.2.12 或更新。若版本較舊,需要立即更新。
  4. 檢視 VCO 日誌中是否有來自日本攻擊 IP 的連線
    grep -E '74\.82\.197\.86|38\.54\.50\.151' /var/log/vco/*.log
    看到什麼代表什麼：如果有這兩個 IP 的連線記錄,需要調查連線時間、存取的資源與後續活動。
  5. 檢查 Nextcloud 伺服器上是否有非預期的檔案變更
    find /var/www/nextcloud -type f -mtime -30 -name '*.php' -exec ls -lh {} \;
    看到什麼代表什麼：若有非預期的 PHP 檔案或最近 30 天內的修改,可能是 web shell 或其他後門。
  6. 檢視 VCO 日誌中是否有非預期的權限升級或存取特權功能
    看到什麼代表什麼：若有 Enterprise Read Only 權限的帳號存取管理員功能或執行特權操作,可能是 SQL 注入的利用痕跡。

如果你使用 Nextcloud + Collabora Online 或 VeloCloud Orchestrator,今天就檢查版本並更新。若發現任何可疑活動,立即調查並撤銷可能暴露的憑證。

這篇提到的項目要花多少錢

修補成本主要是更新套件與調查可疑活動的人力時間。

costCISA KEV 漏洞修補成本
項目用量單價期間US$NT$舉證
更新 Collabora Online Built-in CODE Server（richdocumentscode）到 26.4.303
估：在 Nextcloud 管理介面更新套件並測試;套件更新本身免費
約 0.5 人日內部工時或顧問日費 NT$20,000–35,000（估）一次性429.6913,750本站假設值
更新 VeloCloud Orchestrator 到修補版本
估：包含更新、測試與重新啟動 VCO 服務
約 1 人日內部工時或顧問日費 NT$20,000–35,000（估）一次性859.3827,500本站假設值
檢查 Nextcloud 伺服器上是否有 web shell 或後門
估：搜尋非預期的 PHP 檔案、檢視日誌、確認系統完整性
約 1 人日內部工時或顧問日費 NT$20,000–35,000（估）一次性859.3827,500本站假設值
調查 VCO 日誌中的可疑連線與權限升級
估：搜尋攻擊 IP、檢視存取日誌、確認是否有非預期的特權操作
約 1 人日內部工時或顧問日費 NT$20,000–35,000（估）一次性859.3827,500本站假設值
若發現入侵,撤銷憑證與重建受影響系統
估：若發現 web shell 或 SQL 注入痕跡,需要撤銷憑證、重建系統、調查橫向移動
約 3 人日起內部工時或顧問日費 NT$20,000–35,000（估）一次性2578.1382,500本站假設值
合計（僅可證明列）0.000
匯率假設 1 USD ≈ NT$32。單價為公開牌價或帳單實付，來源：本站人力工時假設。「舉證」欄標明每筆損失的證據來源與等級（ 可證明 推論 缺口）。

若無入侵跡象,修補成本約 2.5 人日;若發現入侵,回應成本將增加到至少 5.5 人日起。

來源：本文整理自 The Hacker News 於 2026 年 10 月 24 日發布的報導,依據 CISA KEV 公告與 Arista 安全通報。原文連結

來源

分享
精選拆解直送信箱

每篇新文章一封：三點摘要、關鍵字定義、今天能做的一件事。

延伸閱讀