2026-10-25
Уязвимость CVE-2026-110447 во встроенном сервере CODE Collabora в Nextcloud используется в атаках: кто затронут и что делать
14 октября 2026 года разработчики Collabora Online раскрыли CVE-2026-110447, неаутентифицированную уязвимость инъекции команд ОС в приложении Nextcloud Collabora Online - Built-in CODE Server (ID приложения richdocumentscode). Через proxy.php приложения команды могут выполняться от имени пользователя веб-сервера. Условие: встроенный сервер CODE не запущен, что может произойти после перезапуска контейнера, обновления или сбоя. Затронуты версии до 26.4.303; версия 26.4.303 вышла 11 сентября. Разработчики заявляют, что отключение приложения не устраняет проблему, и просят обновить или удалить его. На Nextcloud 29 и более ранних версиях обновите Nextcloud или удалите приложение. По словам разработчиков, отдельные серверы Collabora Online, Docker-образы, пакеты RPM/DEB и Nextcloud All-in-One не затронуты. Оценка CVSS v4.0 — 9.2. 23 октября CISA добавило уязвимость в каталог известных эксплуатируемых уязвимостей (KEV) со сроком до 26 октября. Пользователи сообщали об атаках примерно с 10 сентября в репозитории разработчиков, а по данным СМИ, были установлены веб-шеллы. Вывод этого сайта: если установлено встроенное приложение CODE, даже отключенное, сегодня проверьте его версию, обновите или удалите его, затем проверьте следы с 10 сентября.