Die US-Sicherheitsbehörde CISA hat zwei kritische Schwachstellen in Collabora Online und dem Arista VeloCloud Orchestrator in ihren Katalog aktiv ausgenutzter Sicherheitslücken aufgenommen. Über die Fehler können Angreifer Code auf Nextcloud-Servern ausführen beziehungsweise weitreichende Rechte auf der Managementebene von SD-WAN-Umgebungen erlangen.
Betroffen sind allerdings unterschiedliche Betriebsmodelle und Angriffsszenarien. Bei Collabora hängt das Risiko an einer bestimmten Nextcloud-Konfiguration. Der Angriff auf Aristas VeloCloud Orchestrator setzt dagegen Netzwerkzugang zur Weboberfläche und bereits gültige Zugangsdaten voraus. Beide Schwachstellen werden nach Angaben von CISA und den Herstellern tatsächlich ausgenutzt; es handelt sich nicht nur um theoretische Möglichkeiten.
Zwei kritische Lücken mit unterschiedlichen Voraussetzungen
CVE-2026-110447 betrifft den in Nextcloud verwendeten Collabora Online Built-in CODE Server, der auch unter dem App-Namen richdocumentscode bekannt ist. Die Betriebssystem-Befehlsinjektion erreicht einen CVSS-Wert von 9,2 und ermöglicht über die Datei proxy.php die Ausführung von Code, wenn der lokale CODE-Dokumentenserver nicht läuft.
Angriffe auf diese Schwachstelle wurden seit dem 10. September 2026 beobachtet. Dabei installierten die Angreifer Web-Shells auf Nextcloud-Servern, erkundeten die Systeme und suchten unter anderem nach Zugangsdaten, Passwortmanager-Artefakten und Kryptowährungs-Wallets. Der Fix erschien am 11. September in Version 26.4.303.
Für Betreiber ist ein Detail entscheidend: Es genügt nicht, die betroffene Nextcloud-App lediglich zu deaktivieren. Sie muss entweder auf die korrigierte Version aktualisiert oder vollständig entfernt werden. Damit wird aus einer scheinbar einfachen Konfigurationsmaßnahme eine Frage des tatsächlich noch vorhandenen Softwarebestands.
CVE-2026-114625 ist eine SQL-Injection im lokal betriebenen Arista VeloCloud Orchestrator. Sie wird mit einem CVSS-Wert von 9,9 bewertet. Ein erfolgreicher Angriff kann privilegierte interne Funktionen verfügbar machen und einem Angreifer Operator-Rechte auf dem Orchestrator verschaffen.
Für die Ausnutzung sind ein Netzwerkpfad zur VCO-Weboberfläche, eine gültige authentifizierte Sitzung und mindestens die Rolle Enterprise Read Only erforderlich. Gehostete und dedizierte VCO-Instanzen wurden nach den vorliegenden Herstellerangaben bereits von Arista aktualisiert. Betreiber eigener On-Premise-Instanzen müssen je nach Versionszweig auf 5.2.3.18, 6.1.3.10 oder 6.4.2.12 wechseln.
Ein hoher CVSS-Wert beschreibt nicht die gesamte Lage
Die beiden Fälle zeigen, warum die operative Priorisierung nicht allein nach der CVSS-Zahl erfolgen sollte. Die Collabora-Lücke greift nur unter einer bestimmten technischen Bedingung, wurde in dieser Konstellation aber bereits zur dauerhaften Kompromittierung von Nextcloud-Servern genutzt. Bei Arista schränkt die erforderliche Anmeldung den Kreis möglicher Angreifer ein. Ein kompromittiertes Konto mit einer nominell nur lesenden Unternehmensrolle kann dennoch als Ausgangspunkt für die Übernahme privilegierter Funktionen dienen.
Diese Zugangsvoraussetzung relativiert deshalb nicht die Auswirkung. Sie verändert vielmehr die Abwehr: Neben dem Einspielen des Patches müssen Betreiber prüfen, wer die VCO-Weboberfläche erreichen kann, welche Konten entsprechende Sitzungen besitzen und ob verdächtige Anmeldungen oder Aufrufe stattgefunden haben.
Arista nannte die nach Japan geolokalisierten IP-Adressen 74.82.197.86 und 38.54.50.151 als Indikatoren der beobachteten Aktivität. Das Unternehmen hat bislang weder einen konkreten Angreifer benannt noch veröffentlicht, wie viele Organisationen betroffen sind. Auch zu den Handlungen nach der Rechteausweitung liegen keine detaillierten Angaben vor. Die beiden IP-Adressen eignen sich daher als Prüfmerkmal, ersetzen aber keine breitere Auswertung von Zugriffs-, Sitzungs- und Administrationsprotokollen.
Nach dem Update bleibt die Kompromittierungsprüfung
Betreiber von Nextcloud sollten zunächst feststellen, ob richdocumentscode installiert ist, welche Version vorliegt und ob die für CVE-2026-110447 relevante Konfiguration besteht. Anschließend ist mindestens Version 26.4.303 einzuspielen oder die App vollständig zu entfernen. Da Angreifer bereits Web-Shells abgelegt haben, reicht ein Update bei zuvor erreichbaren Systemen nicht als Abschluss: Solche Installationen sollten auf unbekannte Dateien, ungewöhnliche Prozesse, verdächtige Webzugriffe und mögliche Zugriffe auf gespeicherte Zugangsdaten untersucht werden.
Ergänzung vom 25. Oktober: Patchen allein genügt nicht
Ein wichtiger Hinweis aus der Administratorpraxis: Wer die verwundbare Nextcloud-Erweiterung richdocumentscode nur deaktiviert, beseitigt die Gefahr nicht zuverlässig. Betreiber müssen den betroffenen Code durch eine korrigierte Version ersetzen oder die Erweiterung vollständig entfernen. Auch danach kann der Server bereits kompromittiert sein: Eine zuvor installierte Webshell verschwindet durch das Sicherheitsupdate nicht automatisch.
Administratoren sollten deshalb insbesondere die Dateien im Verzeichnis der Erweiterung auf unerwartete PHP-Dateien und Änderungen prüfen. Die Nextcloud-Integritätsprüfung kann mit sudo -u www-data php occ integrity:check-app richdocumentscode unterstützen (aus dem Nextcloud-Verzeichnis, Benutzer gegebenenfalls anpassen). Hinzu kommen die Kontrolle von Webserver- und Nextcloud-Protokollen, insbesondere auf verdächtige Aufrufe von proxy.php, sowie die Prüfung unbekannter Prozesse und möglicher Zugriffe auf Zugangsdaten. Ein unauffälliger Integritätscheck schließt eine Kompromittierung nicht sicher aus. Bei konkretem Verdacht sollten Beweise gesichert, der Server isoliert und Zugangsdaten sowie Sitzungsschlüssel nach einem abgestimmten Incident-Response-Verfahren erneuert werden.
Für ältere Nextcloud-Versionen ist zudem zu kontrollieren, ob überhaupt eine kompatible, korrigierte CODE-Erweiterung bereitsteht. Ein im App-Store angebotenes Update ist nicht automatisch eine sichere Version; maßgeblich ist die installierte Versionsnummer.
Redaktioneller Hinweis: Danke an Michael Heine von Windows FAQ für den ergänzenden Hinweis auf X und die praxisnahen Prüfschritte. Die Grundwarnung vor einer bloßen Deaktivierung sowie vor bereits installierten Webshells war in unserem ursprünglichen Bericht enthalten; diese Ergänzung konkretisiert das Vorgehen für Administratoren.
Bei Arista VCO betrifft der unmittelbare Handlungsbedarf vor allem selbst betriebene Instanzen. Diese müssen auf eine der korrigierten Versionen gebracht werden. Zusätzlich sollten Betreiber den Zugang zur Managementoberfläche auf notwendige Netze begrenzen, aktive Sitzungen und Benutzerkonten kontrollieren und die von Arista genannten IP-Adressen in vorhandenen Protokollen suchen.
Für zivile US-Bundesbehörden gilt nach der Aufnahme in den Known Exploited Vulnerabilities Catalog eine Behebungsfrist bis zum 26. Oktober 2026. Diese verbindliche Frist richtet sich an Federal Civilian Executive Branch Agencies. Für andere Organisationen ist sie keine formale Vorgabe, die bestätigte Ausnutzung macht die Updates dennoch zeitkritisch.
Aristas Managementebene bleibt ein wiederkehrendes Ziel
CVE-2026-114625 ist bereits die dritte aktiv ausgenutzte Schwachstelle im VeloCloud Orchestrator seit Juli 2026. Zuvor waren CVE-2026-16812 und CVE-2026-93952 mit einem CVSS-Wert von jeweils 10,0 bekannt geworden. Anders als die aktuelle Lücke erforderten diese beiden Fehler keine Authentifizierung.
Die Serie ist für Betreiber deshalb relevant, weil ein Orchestrator nicht nur eine weitere Webanwendung ist. Er bildet die zentrale Verwaltungsebene einer verteilten Netzwerkinfrastruktur. Schwache Zugangskontrollen, alte Versionen oder verzögerte Updates konzentrieren das Risiko damit an einer Stelle, über die zahlreiche verwaltete Systeme und deren Konfigurationen erreichbar sind.
Der entscheidende operative Unterschied liegt somit nicht zwischen den CVSS-Werten 9,2 und 9,9. Er liegt in der Frage, ob Betreiber ihren tatsächlichen Komponentenbestand, die konkrete Konfiguration und die erreichbaren Managementoberflächen kennen. Wer erst beim CISA-Eintrag nach installierten Apps oder lokal betriebenen Orchestratoren sucht, muss nicht nur patchen, sondern zugleich klären, ob der Angriff bereits vorher stattgefunden hat.
