Do katalogu KEV přibyly dvě zneužívané chyby: ve vestavěném editoru dokumentů pro Nextcloud a v platformě pro správu sítí VeloCloud. První umožňuje spustit příkazy bez přihlášení, druhá promění i účet s nejnižší rolí v přístup k privilegovaným funkcím.

CVE-2026-110447 se týká doplňku Collabora Online – Built-in CODE Server, označovaného jako richdocumentscode, pro Nextcloud. Chyba ve skriptu proxy.php dovoluje vzdálenému útočníkovi bez přihlášení spustit příkazy operačního systému s oprávněními účtu webového serveru. Podmínkou je, že vestavěný CODE server právě neběží, například po restartu, při aktualizaci nebo po pádu. Výrobce uvádí CVSS 4.0 9,2. Samostatné servery Collabora Online touto chybou zasaženy nejsou.

Zranitelné jsou verze richdocumentscode před 26.4.303. Nápravou je aktualizace na tuto nebo novější verzi, případně úplné odstranění doplňku: jeho pouhé vypnutí podle výrobce nestačí. U již nepodporovaného Nextcloudu 29 a starších verzí výrobce požaduje aktualizovat Nextcloud, nebo doplněk odstranit. Jde o jinou chybu než CVE-2025-66208 a oprava této starší zranitelnosti současný problém neřeší.

CVE-2026-114625 zasahuje Arista VeloCloud Orchestrator (VCO), platformu pro centrální správu sítí SD-WAN. SQL injection umožňuje přihlášenému útočníkovi získat operátorská oprávnění a vydávat se za místního uživatele „superuser operator“. Stačí síťový přístup k webovému rozhraní a platné přihlášení i s nejnižší vestavěnou rolí Enterprise Read Only. Důsledkem může být kompromitace orchestrátoru a jím spravovaných dat. Arista potvrzuje aktivní zneužívání a hodnotí chybu CVSS 3.1 9,9 a CVSS 4.0 9,4.

U vlastních instalací VCO jsou opravy ve verzích 5.2.3.18, 6.1.3.10 a 6.4.2.12 a novějších vydáních příslušných větví. Hostované varianty včetně vyhrazených instancí byly také dotčené, ale podle Aristy již dostaly opravu. Nepodporované verze výrobce neposuzoval; jejich provozovatelé mají řešit přechod s technickou podporou. Do aktualizace doporučuje omezit přístup ke správě na důvěryhodné sítě, sledovat neobvyklé požadavky a odchozí komunikaci a hledat webové shelly či neočekávané administrátorské změny. Při podezření na napadení je vhodné před nápravou uchovat dostupné provozní, aplikační a databázové logy. Obě zranitelnosti CISA zařadila do KEV 23. října.