CISA 再點名兩個已被開採的重大漏洞：Collabora 與 Arista VeloCloud，聯邦機構須在 10 月 26 日前修補

2026/10/24 下午05:14（台北時間）

美國 CISA 把 Collabora Online 與 Arista VeloCloud Orchestrator 的重大漏洞列入已知遭開採清單，兩者皆有修補版本，聯邦機構的期限是 10 月 26 日。

美國網路安全暨基礎設施安全局（CISA）在 10 月 24 日把兩個重大漏洞放進「已知遭開採漏洞」清單，代表已有在野外實際被利用的證據。受影響的產品分別是搭配 Nextcloud 使用的 Collabora Online 內建文件伺服器，以及 Arista 的 VeloCloud Orchestrator（VCO）。

Collabora：命令注入可能變成遠端執行程式碼

第一個漏洞編號為 CVE-2026-110447，CVSS 評分為 9.2，屬於作業系統命令注入問題。它出現在 Collabora Online 的內建 CODE Server（也就是 Nextcloud 裡的 richdocumentscode 套件），當本地文件伺服器沒有運作時，攻擊者可能透過 proxy.php 達成遠端執行程式碼。

這項問題已在 2026 年 9 月的 26.4.303 版修復。值得注意的是，通報指出攻擊者已利用它在 Nextcloud 伺服器植入網頁後門，藉此探查系統，尋找憑證儲存區、密碼管理工具的相關檔案，以及加密貨幣錢包的蹤跡。換句話說，修補之外，還得檢查伺服器是否早已被人動過手腳。

Arista VeloCloud：最低權限帳號也能一路升到最高權限

第二個漏洞編號為 CVE-2026-114625，CVSS 評分為 9.9，屬於 SQL 注入問題，影響自行架設的 VCO。攻擊者只要能連上 VCO 的網頁介面，並且擁有一個有效登入帳號——即使只是權限最低的「企業唯讀」角色——就可能取得營運者層級的權限，假冒本地的超級營運者帳號，進而接觸原本只限內部使用的功能。

Arista 在 10 月 22 日發布的第 0199 號安全公告中坦承，此問題已被實際開採，但沒有說明攻擊者身分、受害組織數量，也沒有公布攻擊後的具體行為。公告同時列出兩個據稱與攻擊活動有關、地理位置在日本的 IP 位址。修復版本為 5.2.3.18、6.1.3.10 與 6.4.2.12，託管版與專屬版則已由 Arista 先行修補。

這也是同一產品自 2026 年 7 月以來第三個被實際開採的漏洞，前兩個的 CVSS 評分甚至達到滿分 10.0。不同的是，前兩者不需要登入，這一次需要登入，但門檻低到幾乎只要有帳號就能嘗試。

期限與自保清單

CISA 要求美國聯邦文官行政部門的機構在 10 月 26 日前完成修補與相關鑑識工作。一般企業雖然不受同一期限約束，但既然已有開採證據，拖延的風險只會愈來愈高。

實務上的優先順序很清楚：先確認自己是否裝了受影響的版本；Collabora 用戶升到 26.4.303 或更新版，VCO 用戶升到上述三個修復版本之一；同時把 VCO 的網頁介面限制在管理網路內，不要對外敞開；最後回頭檢查日誌，看看 proxy.php 或 VCO 登入紀錄有沒有異常。把權限收緊、把修補排程當成日常，是守住內部資料的基本功，這也是看店勢把權限與資料安全放在產品設計核心的原因。

資料來源

The Hacker News：CISA Flags Two Actively Exploited Critical Flaws in Collabora Online and Arista VeloCloud（2026 年 10 月 24 日）
Arista Security Advisory 0199（2026 年 10 月 22 日）
CISA Known Exploited Vulnerabilities 清單相關通報

引用來源：The Hacker News、Arista Security Advisory 0199、CISA Known Exploited Vulnerabilities