CISA, Collabora Online ve Arista VeloCloud Açıklarını Aktif Sömürü Listesine Aldı

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), Collabora Online Built-in CODE Server ve Arista VeloCloud Orchestrator (VCO) ürünlerini etkileyen iki kritik güvenlik açığını Bilinen İstismar Edilen Güvenlik Açıkları (KEV) kataloğuna dahil etti. Ajans, her iki açığın gerçek saldırılarda aktif biçimde kullanıldığına ilişkin raporlara dayandığını belirtti.

İki Kritik Açığın Teknik Ayrıntıları​

Listeye eklenen ilk açık, CVE-2026-110447 kimlik numarasını taşıyor ve CVSS puanı 9,2 olarak belirlendi. Bu açık, NextCloud platformu içinde kullanılan Collabora Online Built-in CODE Server bileşeninde tespit edildi. Söz konusu işletim sistemi komut enjeksiyonu güvenlik açığı, yerel CODE belge sunucusu çalışmadığında "proxy.php" üzerinden uzaktan kod çalıştırılmasına olanak tanıyor. Açık, Eylül 2026'da yayımlanan 26.4.303 sürümüyle giderildi.
İkinci açık ise CVE-2026-114625 kimliğiyle kayıtlara geçti ve 9,9 gibi son derece yüksek bir CVSS puanına sahip. Arista VeloCloud Orchestrator'ın şirket içi (on-premise) sürümlerini etkileyen bu SQL enjeksiyonu açığı, uzaktaki bir saldırganın ayrıcalıklı iç işlevlere erişmesine imkân veriyor. Açık; Ekim 2026'da yayımlanan 5.2.3.18, 6.1.3.10 ve 6.4.2.12 sürümleriyle kapatıldı.

Saldırganlar Nextcloud Sunucularını Arka Kapıyla Ele Geçiriyor​

CVE-2026-110447 açığını kullanan tehdit aktörlerinin, Nextcloud sunucularına web kabuğu (web shell) yerleştirerek arka kapı oluşturduğu gözlemlendi. Saldırganlar bu erişimi; keşif faaliyetleri yürütmek, kimlik bilgisi depolarını, parola yöneticisi kalıntılarını ve kripto para cüzdanlarını aramak amacıyla kullandı.
CVE-2026-114625'in başarıyla istismar edilebilmesi için saldırganın VCO web arayüzüne ağ erişimine ve VCO portalında geçerli kimlik doğrulamalı bir oturuma sahip olması gerekiyor. Gerekli olan minimum kullanıcı rolü ise Enterprise Read Only düzeyinde.

Arista'nın Açıklamaları ve Paylaşılan IP Adresleri​

Arista, CVE-2026-114625'in aktif biçimde istismar edildiğini kabul etmekle birlikte faaliyeti belirli bir tehdit aktörüne bağlamadı; açığın nasıl sömürüldüğüne ve ayrıcalık yükseltme sonrasında saldırganların ne tür eylemler gerçekleştirdiğine ilişkin teknik ayrıntı paylaşmadı. Şirket, etkilenen kurum sayısını da kamuoyuyla paylaşmadı. Buna karşın Arista, faaliyetten sorumlu tuttuğu iki IP adresini açıkladı: Japonya'da coğrafi konumlanan 74.82.197[.]86 ve 38.54.50[.]151.
CVE-2026-114625, aynı üründe Temmuz 2026'dan bu yana silah olarak kullanılan üçüncü güvenlik açığı olma özelliğini taşıyor. Daha önce CVSS puanı 10,0 olan CVE-2026-16812 ve yine 10,0 puan alan CVE-2026-93952 açıkları da aynı ürünü hedef almıştı.

Federal Kurumlara 26 Ekim 2026 Yaması Zorunluluğu​

Aktif istismarın boyutu göz önünde bulundurularak Federal Sivil Yürütme Organı (FCEB) kurumlarına, ağlarını güvence altına almak amacıyla ilgili yamaları 26 Ekim 2026 tarihine kadar uygulamaları tavsiye edildi.

Sıkça Sorulan Sorular​

CISA'nın KEV listesine eklenen iki açık hangi ürünleri etkiliyor?​

Söz konusu açıklar, Collabora Online Built-in CODE Server (NextCloud platformu içinde kullanılan) ve Arista VeloCloud Orchestrator'ın şirket içi sürümlerini etkiliyor.

CVE-2026-110447 açığını kullanan saldırganlar ne yapıyor?​

Tehdit aktörlerinin bu açıktan yararlanarak Nextcloud sunucularına web kabuğu yerleştirdiği ve ardından keşif faaliyetleri yürüterek kimlik bilgisi depoları, parola yöneticisi kalıntıları ve kripto para cüzdanları aradığı gözlemlendi.

CVE-2026-114625'i istismar etmek için hangi koşullar gerekiyor?​

Saldırganın VCO web arayüzüne ağ erişimine ve VCO portalında geçerli kimlik doğrulamalı bir oturuma sahip olması gerekiyor; gerekli minimum kullanıcı rolü Enterprise Read Only düzeyi.

Arista, CVE-2026-114625 ile ilgili hangi bilgileri paylaştı, hangi bilgileri paylaşmadı?​

Arista, açığın aktif biçimde istismar edildiğini kabul etti ve iki IP adresini (74.82.197[.]86 ve 38.54.50[.]151) paylaştı; ancak saldırıyı belirli bir tehdit aktörüne bağlamadı, teknik ayrıntıları açıklamadı ve etkilenen kurum sayısını kamuoyuyla paylaşmadı.

Federal kurumlara yönelik yama son tarihi ne zaman?​

Federal Sivil Yürütme Organı (FCEB) kurumlarının ilgili yamaları 26 Ekim 2026 tarihine kadar uygulaması tavsiye edildi.