CISA ha inserito due nuove vulnerabilità critiche nel catalogo KEV, cioè l’elenco dei difetti già sfruttati dagli attaccanti nel mondo reale. Le falle riguardano Collabora Online usato con Nextcloud e Arista VeloCloud Orchestrator: in entrambi i casi non si parla di rischio teorico, ma di attacchi già osservati.
Per un’azienda questo conta subito, perché coinvolge due ambiti molto comuni: la collaborazione documentale e la gestione della connettività SD-WAN. Se uno di questi sistemi è esposto o non aggiornato, il problema non è “se” correggerlo, ma farlo in fretta e verificare che non ci siano già segni di compromissione.
Cosa è successo
Il 24 ottobre 2026 la CISA, l’agenzia statunitense per la cybersicurezza, ha aggiunto al proprio catalogo Known Exploited Vulnerabilities due falle ad alta gravità già sfruttate attivamente:
- CVE-2026-110447 in Collabora Online Built-in CODE Server
- CVE-2026-114625 in Arista VeloCloud Orchestrator (VCO)
L’inserimento nel catalogo KEV è un segnale importante: significa che esistono evidenze di utilizzo reale da parte di attori ostili, non solo una possibilità tecnica descritta in laboratorio. Per le agenzie federali civili statunitensi, CISA ha indicato come termine di mitigazione il 26 ottobre 2026.
Anche se l’obbligo formale riguarda enti americani, il messaggio per le aziende private è chiaro: quando una falla entra nel KEV, il tempo di reazione dovrebbe misurarsi in ore o pochi giorni, non in settimane.
La falla in Collabora Online: perché interessa chi usa Nextcloud
La vulnerabilità CVE-2026-110447, con punteggio CVSS 9.2, colpisce il componente Built-in CODE Server di Collabora Online, identificato anche come richdocumentscode, quando viene utilizzato all’interno della piattaforma Nextcloud.
In concreto si tratta di una vulnerabilità di command injection a livello di sistema operativo che può portare a esecuzione di codice da remoto attraverso proxy.php, in una condizione specifica: quando il server documentale locale di CODE non è in esecuzione.
La correzione è stata resa disponibile a settembre 2026 nella versione 26.4.303.
Il punto più preoccupante non è solo il difetto in sé, ma il modo in cui viene usato. Secondo quanto riportato dalle fonti, gli attaccanti hanno già sfruttato questa falla per:
- installare una web shell su server Nextcloud;
- svolgere ricognizione interna;
- cercare archivi di credenziali;
- individuare artefatti di password manager;
- cercare wallet di criptovalute.
Tradotto in linguaggio aziendale: se Nextcloud viene usato per file condivisi, documenti operativi o credenziali memorizzate in modo improprio, l’impatto può andare ben oltre il singolo server. Un attacco riuscito può diventare il punto di partenza per muoversi nella rete interna, raccogliere account, sottrarre dati o preparare ulteriori compromissioni.
La falla in Arista VeloCloud Orchestrator: il rischio nella gestione della rete
La seconda vulnerabilità, CVE-2026-114625, ha un punteggio CVSS 9.9 e riguarda le installazioni on-premise di Arista VeloCloud Orchestrator, il portale web usato per configurare, monitorare e gestire ambienti SD-WAN VeloCloud e i dispositivi associati.
Qui il problema è una SQL injection che consente a un attaccante remoto di accedere a funzionalità interne privilegiate. L’exploit non è completamente anonimo: richiede infatti:
- accesso di rete all’interfaccia web del VCO;
- una sessione autenticata valida;
- un ruolo minimo di Enterprise Read Only, cioè un profilo con privilegi molto bassi.
È però proprio questo l’aspetto più delicato: basta un account di lettura per arrivare, secondo Arista, a privilegi da operator e persino a impersonare un superuser operator locale. In pratica un utente quasi passivo può trasformarsi in un amministratore con capacità molto estese sul sistema.
Le versioni corrette indicate da Arista sono:
- 5.2.3.18
- 6.1.3.10
- 6.4.2.12
Le istanze Hosted e Dedicated risultano già corrette, mentre il problema riguarda le distribuzioni on-premise vulnerabili.
Arista ha dichiarato che la falla è attivamente sfruttata, ma non ha attribuito la campagna a un gruppo specifico né ha comunicato quante organizzazioni siano state colpite. Ha però condiviso due indirizzi IP osservati nelle attività malevole:
74.82.197.8638.54.50.151
Le fonti li collocano geograficamente in Giappone, ma questo dato non va interpretato automaticamente come indicazione dell’origine degli attaccanti.
Perché il caso Arista merita più attenzione del solito
La vulnerabilità appena emersa non è un episodio isolato. Secondo le fonti, si tratta della terza falla di VeloCloud Orchestrator sfruttata attivamente dal luglio 2026, dopo:
- CVE-2026-16812
- CVE-2026-93952
Questo indica due cose utili per chi gestisce infrastrutture di rete aziendali.
La prima: i sistemi di orchestrazione e gestione remota sono oggi bersagli prioritari. Chi controlla il pannello di amministrazione della rete spesso ottiene visibilità, configurazioni, relazioni tra sedi e dispositivi, e talvolta una via per espandere l’attacco.
La seconda: non basta dire “abbiamo già applicato le patch di luglio o settembre”. Le fonti sottolineano infatti che anche release corrette per falle precedenti possono restare vulnerabili alla nuova CVE se non aggiornate alla versione specifica rilasciata il 22 ottobre 2026.
Cosa controllare subito
Se in azienda usate Nextcloud con Collabora Online oppure Arista VeloCloud Orchestrator on-premise, il controllo iniziale dovrebbe essere molto pratico.
Per Collabora/Nextcloud:
- verificate se è presente il Built-in CODE Server;
- controllate la versione e la presenza della correzione 26.4.303 o successiva;
- esaminate il server per eventuali web shell, file anomali e processi inattesi;
- rivedete i log relativi a richieste verso
proxy.php; - controllate se sul server sono archiviati file sensibili, credenziali o esportazioni di password manager.
Per Arista VCO:
- verificate se la piattaforma è on-premise;
- controllate la release installata e allineatela ad almeno 5.2.3.18, 6.1.3.10 o 6.4.2.12, secondo il vostro ramo;
- limitate l’accesso all’interfaccia web del VCO alle sole reti amministrative fidate;
- analizzate i log di accesso web alla ricerca di richieste insolite, caratteri codificati, riferimenti a servizi locali o interni e tassi anomali di richieste;
- verificate attività amministrative recenti per rilevare modifiche inattese;
- bloccate e cercate nei log gli IP indicati da Arista.
Le stesse indicazioni delle fonti suggeriscono, in caso di sospetta compromissione, di preservare i log prima di intervenire: accessi web, log applicativi, di sistema, database e timestamp del file system possono essere decisivi per capire cosa è successo davvero.
Cosa significa per la tua azienda
Per una PMI italiana il tema non è solo “installare la patch”, ma capire dove si crea il rischio organizzativo.
Primo: i sistemi esposti su Internet vanno censiti e aggiornati con priorità, soprattutto se sono portali documentali, console di amministrazione o strumenti di rete. Se non avete un inventario chiaro degli asset e delle versioni, state gestendo la sicurezza al buio.
Secondo: una vulnerabilità che richiede autenticazione, come nel caso Arista, non è affatto rassicurante. Se un account debole, riutilizzato o sottratto con phishing basta per scalare privilegi, la superficie di rischio comprende anche identità e procedure interne.
Terzo: quando un attacco punta a web shell, credenziali e password manager, bisogna ragionare per impatto a catena. Anche se il primo sistema colpito è “solo” un server di collaborazione, le conseguenze possono toccare file aziendali, VPN, posta, gestionali e accessi remoti.
In pratica, le azioni più sensate sono queste:
- aggiornare subito i sistemi interessati alle versioni corrette;
- limitare l’esposizione delle console di gestione solo a reti o VPN amministrative;
- rivedere gli account con accesso ai pannelli critici, eliminando quelli inutili e imponendo credenziali robuste e MFA dove disponibile;
- controllare i log delle ultime settimane, non solo dal giorno dell’avviso;
- verificare i backup e la possibilità di ripristino rapido in caso di compromissione;
- pianificare una verifica strutturata della postura di sicurezza dei sistemi esposti.
Se la vostra infrastruttura include servizi documentali, accessi remoti o apparati di rete distribuiti tra sedi, ha senso affiancare all’urgenza della patch anche un controllo più ampio di sicurezza informatica. E se i dati condivisi su piattaforme come Nextcloud sono centrali per l’operatività, è opportuno verificare anche la strategia di backup remoto e le procedure di gestione continua dei client e dei server con desktop IT management.
Un segnale più ampio: la gestione delle patch non basta da sola
Questi due casi mostrano un problema ormai ricorrente: gli attaccanti non puntano solo ai PC degli utenti, ma sempre più spesso ai componenti che governano documenti, identità, accessi e rete.
Per questo la patch è necessaria, ma da sola non chiude il cerchio. Serve anche:
- ridurre l’esposizione dei servizi pubblicati;
- segmentare la rete;
- registrare e conservare log utili;
- testare i ripristini;
- stabilire chi decide e chi interviene quando esce un avviso critico.
Le aziende che reagiscono meglio non sono quelle senza vulnerabilità, ma quelle che sanno identificarle in fretta, correggerle in ordine di priorità e verificare se qualcuno è già entrato.
Domande frequenti
Se uso Nextcloud devo preoccuparmi automaticamente?
No, non in automatico. Il problema riguarda Collabora Online Built-in CODE Server usato con Nextcloud. Bisogna verificare se quel componente è installato e se è stato aggiornato alla versione corretta.
La falla Arista riguarda anche chi usa il servizio ospitato dal fornitore?
Secondo le fonti, la vulnerabilità interessa le installazioni VCO on-premise. Arista ha indicato che le istanze Hosted e Dedicated sono già state corrette.
Bloccare i due IP indicati basta a mettersi al sicuro?
No. Può essere una misura utile e immediata, ma non sostituisce l’aggiornamento, il controllo dei log e la verifica di eventuali compromissioni già avvenute.