10/27 サイバーセキュリティ 3選、Arista VeloCloud Orchestrator、Collabora Online Built-in CODE Server、PHP

関心分野外でも新規KEVは優先します。

1. Arista VeloCloud Orchestrator：CVE-2026-114625

• 10/23にCISA KEVへ新規追加、実悪用確認済み。
• SQL Injectionで、CVSS 9.9。 [it-mikata....elayer.com], [osintsights.com]
• VeloCloudはSD-WAN管理系なので、Fortinet/Ivanti等と同様、ネットワーク基盤側で利用有無を確認する価値の高い案件と私は判断します。
• 補足　Arista VeloCloud Orchestratorはアリスタネットワークス（Arista Networks）の「VeloCloud SD-WAN」環境を一括で管理・制御するための中央管理ツール（マネジメントプレーン）です。

2. Collabora Online Built-in CODE Server：CVE-2026-110447

• 同じく10/23新規KEV、実悪用確認済み。OS Command Injection、CVSS 9.2。 [it-mikata....elayer.com], [osintsights.com]
• Collabora OnlineをNextcloud等との組み合わせで利用している環境が対象になり得ます。 [osintsights.com]
• 補足　Collabora Online Built-in CODE Server（アプリID: richdocumentscode）とは、オンラインストレージの「Nextcloud」上で、WordやExcel、PowerPointなどのオフィス文書をブラウザから直接共同編集できるようにするための組み込み型ドキュメント編集サーバーアプリです。 [1, 2, 3]

3. PHP：CVE-2026-109618 / 109619

• 前回報告した2件ですが、一般Web基盤への波及可能性から引き続き上位です。
• ただし、Web上の二次情報には**「実悪用あり」とする報道と「KEV未掲載、広範な悪用未確認」**とする報道が混在しており、今回取得したCISAページでは裏付けられませんでした。したがって、現時点でKEV入りとは扱いません。 [pbcsnyc.com], [cyberrecaps.com]
• 脆弱性自体についてはCVE-2026-109618がCritical（CVSS 9.8）として報告されています。 [infosecnexus.com]
• その後、KEVに掲載された

CISA Adds Two Known Exploited Vulnerabilities to Catalog

10/26/2026 7:00 PM EDT

CISA has added two new vulnerabilities to its Known Exploited Vulnerabilities (KEV) Catalog and updated the PHP Alert, Critical Vulnerabilities in PHP Require Immediate Patching.

• CVE-2026-109618 – PHP Memory Corruption Vulnerability
• CVE-2026-109619 – PHP Stale Internal Request-State Vulnerability

＋追加ウォッチ

• Node.js関連の新しいRCE情報が複数の10/25サイバー情報サイトに出ていますが、今回確認した一次情報では裏付けが取れなかったため、今日は主要項目には採用しません。 [pbcsnyc.com], [cyberrecaps.com]
• 従来のFortinet/BeyondTrust/Ivantiは引き続き重要ですが、今日は10/23に実悪用確認で新規KEV入りしたArista VeloCloudとCollaboraを新着として上位にしました。 [it-mikata....elayer.com]