Collabora Online y Arista VeloCloud — Vulnerabilidades Críticas de Inyección Explotadas en Campañas Activas (CVE-2026-110447)

Fecha de publicación: 24 de octubre de 2026
Categoría: Vulnerability / Network Security

Introducción

La Agencia de Ciberseguridad y Seguridad de Infraestructura de EE. UU. (CISA) ha actualizado su catálogo de Vulnerabilidades Explotadas Conocidas (KEV), incorporando fallos de seguridad críticos que afectan directamente a Collabora Online Built-in CODE Server y a Arista VeloCloud Orchestrator (VCO). Según los reportes iniciales recopilados por Ravie Lakshmanan en The Hacker News, estas deficiencias están siendo activamente utilizadas en ataques dirigidos en la naturaleza, lo que obligó a emitir directivas urgentes de parcheo para agencias federales y entornos corporativos críticos.

¿Qué es Collabora Online y Arista VeloCloud? (Análisis General)

Las tecnologías afectadas desempeñan funciones vitales en la infraestructura corporativa moderna y la colaboración documental:

  • Collabora Online Built-in CODE Server (richdocumentscode): Es una aplicación integrada dentro de plataformas de almacenamiento y colaboración como Nextcloud, encargada de ofrecer capacidades de edición cooperativa de documentos mediante ofimática basada en web.
  • Arista VeloCloud Orchestrator (VCO): Es la plataforma centralizada de gestión y control para arquitecturas de red SD-WAN (Software-Defined Wide Area Network), permitiendo a los administradores aprovisionar, supervisar y configurar políticas de red a gran escala.

La explotación de estas plataformas otorga a los atacantes un control privilegiado sobre repositorios de datos corporativos o sobre toda la topología de red definida por software.

CVE Categoría (CWE) Impacto CVSS Vector (resumido)
CVE-2026-110447 CWE-78 (Inyección de comandos de SO) Ejecución Remota de Código 9.2 (CRITICAL) CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/...
CVE-2026-114625 CWE-89 (Inyección SQL / Acceso Privilegiado) Compromiso total de VCO y datos 9.4 (CRITICAL) CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/...
CVE-2026-16812 CWE-78 (Inyección de comandos) Compromiso de host y orquestador 10.0 (CRITICAL) CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/...
CVE-2026-93952 CWE-20 (Validación incorrecta de entradas) Compromiso de integridad y disponibilidad 9.5 (CRITICAL) CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/...

(Nota: Los vectores CVSS y clasificaciones CWE anteriores son hechos confirmados obtenidos directamente de los registros oficiales del NVD).

¿Cómo funciona? (Análisis Técnico)

El análisis de los vectores de ataque revela patrones de intrusión orientados al establecimiento de persistencia y escalada rápida de privilegios:

  • Inyección de comandos en Collabora (CVE-2026-110447): El fallo reside en el archivo proxy.php del componente richdocumentscode. Cuando el servidor CODE local no se encuentra activo (por ejemplo, tras un reinicio reciente del producto), peticiones manipuladas enviadas al proxy permiten la inyección de comandos a nivel de sistema operativo. Los actores maliciosos han aprovechado esto para instalar web shells en los servidores Nextcloud afectados, facilitando tareas de reconocimiento profundo, búsqueda de credenciales almacenadas, artefactos de gestores de contraseñas y carteras de criptomonedas.
  • Apropiación de privilegios en Arista VeloCloud (CVE-2026-114625 y relacionados): En las versiones locales (on-prem) de VeloCloud Orchestrator, se identificaron fallos que permiten a usuarios autenticados (incluso con roles mínimos como Enterprise Read Only) escalar privilegios hasta alcanzar el rol de “superuser operator”. Esto otorga acceso a funcionalidades internas no destinadas a la exposición remota, comprometiendo la confidencialidad, integridad y disponibilidad del orquestador y de los datos gestionados.

“La concatenación de fallos de inyección y control de acceso en plataformas de orquestación de red y colaboración documental demuestra que la superficie expuesta en entornos híbridos continúa siendo un vector prioritario para la inserción de backdoors persistentes.”

Sistemas / Entornos Afectados

  • Collabora Online Built-in CODE Server: Versiones anteriores a la 26.4.303 (específicamente la app richdocumentscode en Nextcloud). Se destaca que los servidores Collabora Online independientes (standalone) no están afectados por esta vulnerabilidad específica.
  • Arista VeloCloud Orchestrator (VCO): Versiones locales (on-prem) vulnerables previas a los parches de octubre de 2026 (como las versiones corregidas 5.2.3.18, 6.1.3.10 y 6.4.2.12). Las versiones alojadas (Hosted y Dedicated) ya han sido parcheadas por el proveedor.
  • Indicadores de origen detectados: Se han vinculado direcciones IP específicas localizadas geográficamente en Japón (74.82.197[.]86 y 38.54.50[.]151) con la actividad de sondeo y explotación de estas vulnerabilidades.

Mitigación y Detección

Remediación

  1. Actualización inmediata: Aplicar de forma prioritaria los parches oficiales proporcionados por los proveedores. Para Collabora CODE Server, actualizar a la versión 26.4.303 o superior. Para Arista VCO, aplicar las versiones corregidas correspondientes a cada rama de soporte.
  2. Restricción de acceso: Aislar las interfaces de administración de VeloCloud Orchestrator, limitando el acceso a redes de gestión de confianza (VPNs corporativas o saltos seguros) y revisando las cuentas de usuario con privilegios elevados.
  3. Cumplimiento de plazos: Atender las directrices de CISA para agencias federales, estableciendo plazos estrictos de mitigación a nivel corporativo.

Detección

  • Auditar los sistemas Nextcloud en búsqueda de modificaciones no autorizadas en archivos PHP dentro de los directorios de la aplicación CODE, prestando especial atención a la presencia de web shells.
  • Revisar los registros de acceso (access logs) del servidor web y del orquestador VeloCloud en busca de peticiones HTTP anómalas dirigidas a proxy.php o a endpoints internos de administración.
  • Monitorear la red en busca de tráfico sospechoso hacia o desde las direcciones IP asociadas a las actividades de exploración.

Recapitulando

La inclusión en el catálogo KEV de CISA de estas vulnerabilidades en Collabora Online y Arista VeloCloud subraya la urgencia de mantener una política estricta de gestión de parches en aplicaciones de colaboración y redes definidas por software. La explotación activa de estos fallos para desplegar puertas traseras y extraer credenciales demuestra la sofisticación de los atacantes al comprometer componentes periféricos de la infraestructura.

Referencias