CISA, Collabora Online ve Arista VeloCloud Açıklarını Aktif Sömürü Listesine Aldı

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), iki kritik güvenlik açığını Bilinen Sömürülen Açıklar (KEV) kataloğuna dahil etti. Söz konusu açıklar, Collabora Online Built-in CODE Server ile Arista VeloCloud Orchestrator (VCO) ürünlerini etkiliyor. CISA, her iki açığın da gerçek saldırılarda aktif olarak istismar edildiğine dair raporlar aldığını açıkladı.

İki Kritik Açığın Teknik Ayrıntıları​

Listeye eklenen ilk açık, CVE-2026-110447 tanımlayıcısıyla kayıtlı olup CVSS puanı 9,2 olarak belirlendi. Bu açık, NextCloud platformu içinde kullanılan Collabora Online Built-in CODE Server'da (richdocumentscode olarak da bilinir) bulunan bir işletim sistemi komut enjeksiyonu zafiyetinden kaynaklanıyor. CODE yerel belge sunucusu çalışmadığında "proxy.php" üzerinden uzaktan kod yürütülmesine olanak tanıyan bu açık, Eylül 2026'da yayımlanan 26.4.303 sürümüyle giderildi.
İkinci açık ise CVE-2026-114625 tanımlayıcısıyla kayıtlı; CVSS puanı 9,9 ile son derece kritik bir seviyede değerlendiriliyor. Arista VeloCloud Orchestrator'ın şirket içi (on-premise) sürümlerini etkileyen bu SQL enjeksiyonu zafiyeti, uzaktaki bir saldırganın ayrıcalıklı iç işlevlere erişim sağlamasına imkân veriyor. Açık, Ekim 2026'da yayımlanan 5.2.3.18, 6.1.3.10 ve 6.4.2.12 sürümleriyle kapatıldı.

Saldırganlar Nextcloud Sunucularına Web Kabuğu Yerleştiriyor​

CVE-2026-110447 açığına ilişkin gözlemlere göre tehdit aktörleri bu zafiyeti, Nextcloud sunucularına web kabuğu (web shell) yerleştirmek amacıyla kullanıyor. Saldırganların web kabuğunu yerleştirdikten sonra keşif faaliyetleri yürüttüğü, kimlik bilgisi depolarını, parola yöneticisi kalıntılarını ve kripto para cüzdanlarını aradığı belirlendi.
CVE-2026-114625 açığının başarıyla sömürülebilmesi için saldırganın VCO web arayüzüne ağ erişimine ve VCO portalında geçerli bir kimlik doğrulanmış oturuma sahip olması gerekiyor. Sömürü için gereken minimum kullanıcı rolü ise Enterprise Read Only (Kurumsal Salt Okunur) olarak tanımlandı.

Arista'nın Açıklamaları ve Paylaşılan IP Adresleri​

Arista, CVE-2026-114625 açığının aktif olarak istismar edildiğini kabul etmekle birlikte faaliyeti belirli bir tehdit aktörüne atfetmedi ve saldırganların ayrıcalık yükseltmesinin ardından ne tür eylemler gerçekleştirdiğine dair teknik ayrıntı paylaşmadı. Şirket ayrıca etkilenen kuruluşların sayısını da kamuoyuyla paylaşmadı. Bununla birlikte Arista, saldırı trafiğinin kaynağı olarak Japonya'ya coğrafi olarak konumlandırılmış iki IP adresini açıkladı: 74.82.197[.]86 ve 38.54.50[.]151.
CVE-2026-114625, aynı üründe Temmuz 2026'dan bu yana aktif olarak silahlandırılan üçüncü güvenlik açığı olma özelliği taşıyor. Daha önce CVSS puanı 10,0 olan CVE-2026-16812 ve yine CVSS puanı 10,0 olan CVE-2026-93952 açıkları da bu ürün üzerinden gerçekleştirilen saldırılarda kullanılmıştı.

Federal Kurumlara 26 Ekim 2026 Yaması Zorunluluğu​

CISA, aktif sömürü göz önünde bulundurularak Federal Sivil Yürütme Organı (FCEB) kurumlarının her iki açık için de yamaları 26 Ekim 2026 tarihine kadar uygulamasını tavsiye etti. Bu tarih, ajansın KEV kataloğuna eklenen açıklar için belirlediği standart düzeltme sürecinin bir parçası olarak açıklandı.

Sıkça Sorulan Sorular​

CISA'nın KEV listesi nedir ve neden önemlidir?​

CISA'nın Bilinen Sömürülen Açıklar (KEV) kataloğu, gerçek saldırılarda aktif olarak istismar edildiği doğrulanan güvenlik açıklarını içeren resmi bir listedir. Federal kurumların bu listedeki açıkları belirli bir süre içinde kapatması zorunlu tutulmakta; özel sektör kuruluşları için de yüksek öncelikli bir referans kaynağı işlevi görmektedir.

CVE-2026-110447 açığı hangi koşullarda sömürülebilir?​

Bu açık, Collabora Online Built-in CODE Server'ın NextCloud platformu içinde kullanıldığı ve CODE yerel belge sunucusunun çalışmadığı durumlarda "proxy.php" üzerinden uzaktan kod yürütülmesine olanak tanımaktadır. Söz konusu açık, Eylül 2026'da yayımlanan 26.4.303 sürümüyle giderilmiştir.

CVE-2026-114625 açığını sömürmek için saldırganın hangi koşulları sağlaması gerekiyor?​

Saldırganın VCO web arayüzüne ağ erişimine ve VCO portalında geçerli bir kimlik doğrulanmış oturuma sahip olması gerekmektedir. Sömürü için gereken minimum kullanıcı rolü Enterprise Read Only olarak belirtilmiştir.

Arista VeloCloud Orchestrator'da daha önce de benzer açıklar sömürülmüş müydü?​

Evet. CVE-2026-114625, aynı üründe Temmuz 2026'dan bu yana aktif olarak silahlandırılan üçüncü güvenlik açığıdır. Daha önce her ikisi de 10,0 CVSS puanına sahip CVE-2026-16812 ve CVE-2026-93952 açıkları bu ürün üzerinden gerçekleştirilen saldırılarda kullanılmıştı.

Arista, CVE-2026-114625 saldırılarını hangi tehdit aktörüne bağladı?​

Arista, bu faaliyeti belirli bir tehdit aktörüne atfetmedi. Şirket yalnızca Japonya'ya coğrafi olarak konumlandırılmış iki IP adresini (74.82.197[.]86 ve 38.54.50[.]151) paylaştı; saldırganların ayrıcalık yükseltmesinin ardından gerçekleştirdiği eylemler ve etkilenen kuruluşların sayısı hakkında herhangi bir teknik ayrıntı kamuoyuyla paylaşılmadı.