CISA manda corrigir falhas críticas em Collabora e Arista

Segurança

Agência dos EUA exige correção urgente de vulnerabilidades em plataformas colaborativas e de rede até 26 de outubro.

Leia também: PHP alerta novo RCE crítico em sessões e indica correção rápida

A Agência de Segurança Cibernética e Infraestrutura dos Estados Unidos (CISA) incluiu duas vulnerabilidades críticas em Collabora Online Built-in CODE Server e Arista VeloCloud Orchestrator (VCO) na lista de Vulnerabilidades Conhecidas Exploradas (KEV) e determinou que órgãos federais apliquem correções até 26 de outubro, após confirmar que as falhas estão em uso ativo por grupos maliciosos.

Falha no Collabora é usada para backdoor em servidores Nextcloud

A vulnerabilidade CVE-2026-110447 afeta o Collabora Online Built-in CODE Server e vem sendo explorada para comprometer servidores Nextcloud por meio da instalação de web shells, espécie de backdoor que dá ao invasor controle remoto sobre o sistema.

Com esse acesso, os atacantes conseguem fazer reconhecimento do ambiente e buscar armazenamentos de credenciais, arquivos de gerenciadores de senhas e até carteiras de criptomoedas, elevando o risco de roubo de dados sensíveis e fraudes financeiras. A inclusão na lista KEV obriga as agências do Executivo Civil americano a priorizar o patch, sob pena de manter servidores expostos em plena exploração ativa.

VCO da Arista soma terceira falha explorada desde julho

A segunda vulnerabilidade adicionada à KEV, CVE-2026-114625, atinge o Arista VeloCloud Orchestrator, plataforma usada para orquestrar redes corporativas em larga escala. Nesse caso, a exploração requer que o invasor tenha acesso à rede do portal VCO e uma sessão autenticada válida, ainda que com permissões limitadas.

De acordo com a descrição técnica da falha, “o papel mínimo de usuário requerido é Enterprise Read Only”. A partir daí, a vulnerabilidade permite escalar privilégios dentro do ambiente de orquestração. A Arista reconheceu que a brecha “é conhecida por estar sendo explorada ativamente”, mas não detalhou o método de ataque nem o impacto em clientes, tampouco informou quantas organizações foram afetadas.

Dois endereços IP localizados no Japão foram apontados como origem da atividade maliciosa relacionada à CVE-2026-114625, o que indica uma operação internacional e adiciona complexidade à cooperação entre autoridades na investigação. Esta é a terceira falha no VCO explorada em ambiente real desde julho, após as CVE-2026-16812 e CVE-2026-93952, ambas com pontuação máxima de severidade (CVSS 10.0), o que reforça preocupações sobre a maturidade de segurança do produto.

Entenda o contexto

A lista KEV da CISA reúne vulnerabilidades que já estão sendo usadas em ataques reais e, por isso, devem ser corrigidas com prioridade absoluta em redes governamentais e em infraestruturas críticas. Ao adicionar a CVE-2026-110447 e a CVE-2026-114625, a agência envia um sinal claro de risco imediato para ambientes que dependem de Collabora Online e do VeloCloud Orchestrator.

Na prática, as falhas abrem caminho para instalação de backdoors, acesso indevido a dados internos e coleta de informações sensíveis, incluindo credenciais de acesso a outros sistemas e ativos financeiros digitais. O setor público federal americano é o primeiro alvo das exigências, mas o alerta se estende a empresas e organizações que usam essas plataformas em seus ambientes de colaboração e rede.

A orientação da CISA é que as agências do Executivo Civil apliquem os patches até 26 de outubro e reforcem o monitoramento de sinais de comprometimento, especialmente em servidores Nextcloud integrados ao Collabora Online e em portais VCO acessados remotamente. No mercado, a expectativa é que fornecedores como Collabora e Arista acelerem revisões internas de segurança, ampliem a transparência sobre falhas críticas e apoiem clientes na mitigação dos riscos enquanto as investigações sobre a origem e o alcance dos ataques seguem em andamento.