CISA 標記兩個已遭利用的漏洞：Nextcloud 與 Arista VeloCloud

發生了什麼

2026 年 10 月 24 日,美國網路安全暨基礎設施安全局（CISA）將兩個正在被主動利用的 critical 漏洞加入其已知被利用漏洞清單（KEV, Known Exploited Vulnerabilities）,要求聯邦機構在 2026 年 10 月 26 日前修補。

這兩個漏洞分別影響協作辦公平台與 SD-WAN 管理系統:

CVE-2026-110447（CVSS 評分 9.2）：Collabora Online Built-in CODE Server（套件名稱 richdocumentscode）在 NextCloud 平台上使用時的作業系統命令注入漏洞。攻擊者透過 proxy.php 在 CODE local document server 未執行時執行遠端程式碼。修補版本 26.4.303 於 2026 年 9 月發布。

CVE-2026-114625（CVSS 評分 9.9）：Arista VeloCloud Orchestrator（VCO）內部部署版本的 SQL 注入漏洞。攻擊者能存取特權內部功能。需要攻擊者有網路存取與有效認證 session（最低權限為 Enterprise Read Only）。修補版本於 2026 年 10 月發布（5.2.3.18、6.1.3.10、6.4.2.12）。

CVE-2026-110447：Nextcloud 平台上的命令注入

Collabora Online 是一個開源的協作辦公套件,能在瀏覽器中編輯文件、試算表與簡報。Built-in CODE Server（richdocumentscode）是讓 Nextcloud 能直接內建 Collabora 文件伺服器的套件。

這個漏洞在 proxy.php 中,當 CODE local document server 未執行時能被觸發,讓攻擊者執行作業系統命令。The Hacker News 報導,威脅行為者已被觀察到利用這個漏洞在 Nextcloud 伺服器植入 web shell,進行偵察並搜尋高價值目標:

憑證儲存（credential stores）
密碼管理器檔案（password manager artifacts）
加密貨幣錢包（cryptocurrency wallets）

這個漏洞只影響在 NextCloud 平台上使用 Collabora Online Built-in CODE Server 的部署。獨立的 Collabora Online 部署不受影響。

CVE-2026-114625：VeloCloud 的 SQL 注入

Arista VeloCloud Orchestrator（VCO）是 Arista 的 SD-WAN 管理平台,用於集中管理與監控 VeloCloud Edge 設備。這個漏洞只影響內部部署版本,不影響雲端版本。

SQL 注入漏洞讓遠端攻擊者能存取「特權內部功能」（privileged internal functionality）。但要成功利用,攻擊者需要:

網路存取 VCO web 介面
有效的認證 session（最低權限為 Enterprise Read Only）

Arista 確認這個漏洞「已知正在被主動利用」,但未提供:

攻擊的技術細節
攻擊者取得權限升級後做了什麼
受影響的組織數量

Arista 只分享兩個攻擊來源 IP,地理位置在日本:

74.82.197[.]86
38.54.50[.]151

這是 VeloCloud 今年第三個被利用的漏洞

CVE-2026-114625 是 VeloCloud Orchestrator 自 2026 年 7 月以來第三個被武器化的漏洞:

CVE-2026-16812（CVSS 10.0）
CVE-2026-93952（CVSS 10.0）
CVE-2026-114625（CVSS 9.9）

前兩個漏洞也都被加入 CISA KEV,顯示 VeloCloud Orchestrator 是高價值目標。

CISA 的要求

因為主動利用報告,CISA 要求聯邦民間行政部門（Federal Civilian Executive Branch, FCEB）機構在 2026 年 10 月 26 日前修補這兩個漏洞。

這個時程給機構 2 天時間從 CISA 公告日（10 月 24 日）到截止日。

你可以學到什麼

站在攻擊者的角度:協作平台（Nextcloud + Collabora）與 SD-WAN 管理平台（VeloCloud Orchestrator）都是高價值目標。植入 web shell 後可以偵察整個伺服器的憑證與錢包;取得 VCO 的 SQL 注入後可以升級到特權內部功能,但 Arista 沒說那是什麼。兩個漏洞都已修補數週,但仍被主動利用,顯示許多部署尚未更新。

lessons本案的 7 個教訓

01
協作平台是憑證與錢包的寶庫：攻擊者植入 web shell 後搜尋憑證儲存、密碼管理器與加密貨幣錢包,這些高價值目標可能存放在協作平台的伺服器上。
02
SD-WAN 管理平台是集中控制點：VeloCloud Orchestrator 管理所有 Edge 設備,取得 VCO 的存取權就能影響整個 SD-WAN 拓撲。
03
有效認證 session 降低了利用門檻：CVE-2026-114625 需要有效 session,但最低權限只需 Enterprise Read Only,顯示低權限帳號也可能被用於攻擊鏈的一部分。
04
修補後仍被利用顯示部署延遲：CVE-2026-110447 在 9 月修補,CVE-2026-114625 在 10 月修補,但 10 月 24 日仍被主動利用,顯示許多部署尚未更新。
05
VeloCloud 今年三個漏洞都被利用顯示其為高價值目標：三個 CVSS 9.9–10.0 的漏洞在數個月內相繼被武器化,顯示攻擊者持續鎖定這個平台。
06
攻擊來源 IP 的地理位置不等於攻擊者身分：Arista 分享兩個來自日本的 IP,但這可能是跳板或代理,不代表攻擊者位於日本。
07
廠商不公開技術細節與受害者數量的原因：Arista 確認正在被利用但未公開細節,可能是避免揭露受害者或提供更多利用資訊給其他攻擊者。

keywords重點學習：最需要學習的 10 個關鍵字10 個

01
CVE-2026-110447
Collabora Online Built-in CODE Server（richdocumentscode）在 NextCloud 平台上的命令注入漏洞,CVSS 9.2。
02
CVE-2026-114625
Arista VeloCloud Orchestrator 內部部署版本的 SQL 注入漏洞,CVSS 9.9。
03
CISA KEV
美國 CISA 的已知被利用漏洞清單,要求聯邦機構優先修補這些漏洞。
04
Collabora Online
開源協作辦公套件,能在瀏覽器中編輯文件、試算表與簡報。
05
richdocumentscode
Nextcloud 套件,提供 Collabora Online Built-in CODE Server 功能,這次漏洞的受影響元件。
06
proxy.php
CVE-2026-110447 的觸發點,在 CODE local document server 未執行時允許命令注入。
07
VeloCloud Orchestrator（VCO）
Arista 的 SD-WAN 管理平台,集中管理與監控 VeloCloud Edge 設備。
08
Enterprise Read Only
VCO 的最低權限角色,CVE-2026-114625 的利用只需這個權限級別的有效 session。
09
web shell
攻擊者植入的後門程式,允許遠端執行命令。CVE-2026-110447 的攻擊者用它進行偵察與搜尋憑證。
10
特權內部功能（Privileged Internal Functionality）
CVE-2026-114625 允許攻擊者存取的目標,但 Arista 未公開具體是什麼功能。

下面的步驟全部唯讀,做完你會知道你的系統是否受影響、是否已修補、是否有可疑活動。

try today今天就可以來試試約 15 分鐘

全部唯讀，不改任何設定；做完你會知道自己有沒有同樣的破口。

檢查 Nextcloud 是否安裝 richdocumentscode 套件
```
在 Nextcloud 管理介面檢視已安裝應用程式,或檢查 apps/ 目錄
```
看到什麼代表什麼：如果安裝了 Collabora Online Built-in CODE Server（richdocumentscode）,需要檢查版本。
確認 richdocumentscode 的版本
看到什麼代表什麼：修補版本：26.4.303 或更新。若版本較舊,需要立即更新。
檢查 VeloCloud Orchestrator 的版本
看到什麼代表什麼：修補版本：5.2.3.18、6.1.3.10、6.4.2.12 或更新。若版本較舊,需要立即更新。
檢視 VCO 日誌中是否有來自日本攻擊 IP 的連線
```
grep -E '74\.82\.197\.86|38\.54\.50\.151' /var/log/vco/*.log
```
看到什麼代表什麼：如果有這兩個 IP 的連線記錄,需要調查連線時間、存取的資源與後續活動。
檢查 Nextcloud 伺服器上是否有非預期的檔案變更
```
find /var/www/nextcloud -type f -mtime -30 -name '*.php' -exec ls -lh {} \;
```
看到什麼代表什麼：若有非預期的 PHP 檔案或最近 30 天內的修改,可能是 web shell 或其他後門。
檢視 VCO 日誌中是否有非預期的權限升級或存取特權功能
看到什麼代表什麼：若有 Enterprise Read Only 權限的帳號存取管理員功能或執行特權操作,可能是 SQL 注入的利用痕跡。

如果你使用 Nextcloud + Collabora Online 或 VeloCloud Orchestrator,今天就檢查版本並更新。若發現任何可疑活動,立即調查並撤銷可能暴露的憑證。

這篇提到的項目要花多少錢

修補成本主要是更新套件與調查可疑活動的人力時間。

costCISA KEV 漏洞修補成本

項目	用量	單價	期間	US$	NT$	舉證
更新 Collabora Online Built-in CODE Server（richdocumentscode）到 26.4.303 估：在 Nextcloud 管理介面更新套件並測試;套件更新本身免費	約 0.5 人日	內部工時或顧問日費 NT$20,000–35,000（估）	一次性	429.69	13,750	本站假設值
更新 VeloCloud Orchestrator 到修補版本估：包含更新、測試與重新啟動 VCO 服務	約 1 人日	內部工時或顧問日費 NT$20,000–35,000（估）	一次性	859.38	27,500	本站假設值
檢查 Nextcloud 伺服器上是否有 web shell 或後門估：搜尋非預期的 PHP 檔案、檢視日誌、確認系統完整性	約 1 人日	內部工時或顧問日費 NT$20,000–35,000（估）	一次性	859.38	27,500	本站假設值
調查 VCO 日誌中的可疑連線與權限升級估：搜尋攻擊 IP、檢視存取日誌、確認是否有非預期的特權操作	約 1 人日	內部工時或顧問日費 NT$20,000–35,000（估）	一次性	859.38	27,500	本站假設值
若發現入侵,撤銷憑證與重建受影響系統估：若發現 web shell 或 SQL 注入痕跡,需要撤銷憑證、重建系統、調查橫向移動	約 3 人日起	內部工時或顧問日費 NT$20,000–35,000（估）	一次性	2578.13	82,500	本站假設值
合計（僅可證明列）				0.00	0

匯率假設 1 USD ≈ NT$32。單價為公開牌價或帳單實付，來源：本站人力工時假設。「舉證」欄標明每筆損失的證據來源與等級（可證明推論缺口）。

若無入侵跡象,修補成本約 2.5 人日;若發現入侵,回應成本將增加到至少 5.5 人日起。

來源：本文整理自 The Hacker News 於 2026 年 10 月 24 日發布的報導,依據 CISA KEV 公告與 Arista 安全通報。原文連結

想看全部細節？

環境背景、時間線、攻擊鏈對照 ATT&CK、關鍵證據、根因、處置與檢討都在完整版，約 8 分鐘。

來源

本文為公開報導與官方公告的整理與拆解，非第一手鑑識；證據等級依來源可信度標註。

本文由 AI 團隊協助研究與撰寫，經隱私與事實檢查後發布；證據等級依來源可信度標註。

CISA KEV Nextcloud Collabora Online Arista VeloCloud 命令注入 SQL 注入

看完的心情

ai prompt把這篇的切入點帶回你的環境

複製下面這段，貼給你在用的 AI 工具（Claude Code、Cursor、Copilot、ChatGPT 都可以）。它會用本篇的破口位置、自我檢測與學習重點，對你的專案或環境做一次資安掃描，列出潛在問題與建議的調整或加強方式。

允許 AI 直接修正（每項修改前仍會先問我）

預設是唯讀：只發現問題、提出建議，不會改你任何檔案或設定。

對應課程模組

M2 Web 應用安全 · M4 網路架構 · 想在自己的環境做一次同樣的盤點，從自我盤點開始。

← 上一份主金鑰洩漏 155 天後：攻擊者劫持發布流程推毒版套件下一份 →Brotli 解碼器記憶體損壞：Node.js RCE 只是冰山一角