Angriffe auf Arista VeloCloud und Collabora/Nextcloud beobachtet

Angreifer missbrauchen Sicherheitslücken in Arista VeloCloud Orchestrator und im Collabora Online Built-in CODE Server unter Nextcloud. Aktualisierte Software zum Stopfen der Sicherheitslecks steht bereit, IT-Verantwortliche sollten sie zügig installieren.

Die US-amerikanische Cybersicherheitsbehörde CISA warnt vor den beobachteten Cyberangriffen. Die CISA schreibt in einer Sicherheitsmitteilung, dass eine SQL-Injection-Lücke in Arista VeloCloud Orchestrator (VCO) On-Premise bereits im Internet angegriffen wird. Laut Schwachstellenbeschreibung können Angreifer aus dem Netz unbefugt auf privilegierte interne Funktionen zugreifen und dadurch den VCO manipulieren. Angemeldete User können sich durch die Lücke als „Superuser Operator“ ausgeben, wodurch Zugriff auf Funktionen möglich wird, die eigentlich nicht aus dem Internet zugänglich sein sollten (CVE-2026-114625, CVSS4 9.4, Risiko „kritisch“).

Es ist unklar, wie die Angriffe aussehen und in welchem Ausmaß sie erfolgen. Arista nennt jedoch in der eigenen Sicherheitsmitteilung die VCO-Versionen 5.2.3.18, 6.1.3.10 und 6.4.2.12 als fehlerbereinigt. VCO ist standardmäßig im Netz erreichbar, eine Konfiguration, die das Ausmaß der Schwachstelle verringern würde, gibt es demnach nicht. Bis zur Installation von Updates sollte der Zugriff daher etwa mittels Firewalls und VPN auf vertrauenswürdige Gegenstellen beschränkt werden. Gehostete VCO-Instanzen hat Arista bereits selbst abgesichert. Das Unternehmen nennt bereits einige Hinweise für Angriffe (Indicators of Compromise, IOC), anhand derer Admins prüfen können, ob ihre Instanz möglicherweise kompromittiert wurde. Dazu zählen die Angreifer-IP-Adressen 74.82.197.86 und 38.54.50.151, die Admins blockieren und in ihren Logs suchen sollten.

Angriffe auf Collabora-Schwachstelle

In einer zweiten Sicherheitsmitteilung warnt die CISA vor Angriffen auf Collabora Online Built-in CODE Server. Angreifer können ohne vorherige Authentifizierung Befehle ans Betriebssystem einschleusen, die mit dem Nutzerkonto des Webservers ausgeführt werden. Der Fehler betrifft den Code in „proxy.php“. Laut Schwachstellenbeschreibung funktionieren Angriffe nur, während der Built-in CODE Server nicht läuft, also bei einem Container-Neustart, einem Upgrade oder nach einem Absturz (CVE-2026-110447, CVSS4 9.2, Risiko „kritisch“). Das Deaktivieren der App in Nextcloud schützt nicht davor, nur ein Update auf eine fehlerbereinigte Version 26.4.303 oder neuer hilft, schreiben die Entwickler. Standalone-Collabora-Server sind nicht betroffen. Wer noch eine nicht mehr unterstützte Nextcloud-Version bis einschließlich 29 einsetzt, soll Nextcloud aktualisieren oder die App entfernen – die fehlerbereinigte App-Version setzt Nextcloud 30 oder neuer voraus.

Im Issue-Tracker von Collabora Online gehen erste Einträge auf den 11. September dieses Jahres zurück. Die Betroffenen berichten dort, dass Webshells mittels „richdocumentscode“ auf ihren Nextcloud-Servern installiert wurden. Die Angriffe laufen also bereits seit mindestens seitdem. Admins, die die Collabora-App installiert haben, sollten ihre Instanzen daher auf Einbruchsspuren untersuchen und das Update nachholen, wenn es noch nicht installiert wurde.