「Nextcloud」組込ツールや「Arista VCO」の脆弱性などに注意喚起 - 米当局

米サイバーセキュリティインフラセキュリティ庁（CISA）は現地時間2026年10月23日、悪用が確認されている脆弱性2件について注意喚起を行った。

「悪用が確認された脆弱性カタログ（KEV）」に「Collabora Online - Built-in CODE Server」の「CVE-2026-110447」と、「VeloCloud Orchestrator（VCO）」の「CVE-2026-114625」を追加したもの。

「CVE-2026-110447」は、オンラインストレージ「Nextcloud」に文書編集サーバを組み込むため、Collaboraが提供している追加アプリ「Built-in CODE Server」に判明したOSコマンドインジェクションの脆弱性。組み込みの文書編集サーバが起動していない状態で細工したリクエストが送信された場合に、認証を必要とすることなくリモートから任意のOSコマンドを実行されるおそれがある。

開発元では、同脆弱性を修正した「同26.4.303」を公開。アプリを無効化するだけでは対策とならず、アップデートするか、アプリそのものを削除するよう求めている。

一方、「CVE-2026-114625」は、Arista NetworksのSD-WAN環境向けネットワーク統合管理製品「VeloCloud Orchestrator」に確認されたSQLインジェクションの脆弱性。悪用には管理画面へアクセスでき、認証済みのセッションが必要とされるが、権限を昇格し、内部向けの管理機能にアクセスが可能となる。

これら脆弱性について、CISAは米政府機関における対応期限を10月26日に指定。対応にあたっては、脆弱性を解消するだけでなく、侵害の有無についても調査するよう求めている。

（Security NEXT - 2026/10/26 ）ツイート

「Nextcloud」組込ツールや「Arista VCO」の脆弱性などに注意喚起 - 米当局

関連リンク

PR

関連記事