← Все новости

Безопасность ·

Уязвимость встроенного Collabora CODE в Nextcloud эксплуатируется — CISA добавила её в KEVNextcloud's built-in Collabora CODE flaw is exploited — CISA adds it to KEV

CVE-2026-110447 (CVSS 9.2) — инъекция команд без аутентификации в приложении richdocumentscode для Nextcloud. Атакующие с сентября ставят через неё PHP-веб-шеллы. Федеральным ведомствам США дали на исправление всего три дня.CVE-2026-110447 (CVSS 9.2) is an unauthenticated command injection in the richdocumentscode app for Nextcloud. Attackers have used it since September to plant PHP web shells. US federal agencies were given only three days to fix it.

23 октября CISA внесла CVE-2026-110447 в каталог активно эксплуатируемых уязвимостей (KEV) и установила федеральным ведомствам срок исправления — 26 октября.

Что за уязвимость

Ошибка в приложении richdocumentscode («Collabora Online – Built-in CODE Server») для Nextcloud — в механизме, который запускает встроенный сервер Collabora. Специально сформированный запрос к proxy.php приводит к инъекции ОС-команд от имени пользователя веб-сервера. Аутентификация не нужна, но есть условие: встроенный CODE-сервер должен быть остановлен — например, после перезапуска, обновления или падения. CVSS v4.0 — 9.2.

Не затронуты: отдельные серверы Collabora Online, Docker-образы, пакеты RPM/DEB и Nextcloud All-in-One.

Эксплуатация

Администраторы сообщали об атаках примерно с 10 сентября. Злоумышленники ставили PHP-веб-шеллы и искали базы паролей, файлы менеджеров паролей и криптокошельки. Исправление вышло 11 сентября (версия 26.4.303), но CVE и бюллетень опубликовали только 14 октября — Collabora объяснила задержку очередями обработки CVE на GitHub.

Что делать

  • Обновить richdocumentscode до 26.4.303 или новее либо удалить приложение. Простое отключение не защищает.
  • Версия 26.4.303 требует Nextcloud 30+, на более старых Nextcloud приложение нужно удалить.
  • Если приложение было доступно из интернета — искать незнакомые PHP-файлы и запросы к proxy.php в логах, сменить пароли БД, секреты инстанса и токены приложений, при подозрении на взлом — переустановить хост с чистого образа.

On Oct 23 CISA added CVE-2026-110447 to its Known Exploited Vulnerabilities (KEV) catalog and gave federal agencies until Oct 26 to fix it.

The flaw

The bug is in the richdocumentscode app (“Collabora Online – Built-in CODE Server”) for Nextcloud — in the mechanism that starts the bundled Collabora server. A crafted request to proxy.php leads to OS command injection as the web server user. No authentication is needed, but there is one condition: the built-in CODE server must be stopped — for example after a restart, upgrade or crash. CVSS v4.0 is 9.2.

Not affected: standalone Collabora Online servers, Docker images, RPM/DEB packages and Nextcloud All-in-One.

Exploitation

Administrators reported attacks from around Sept 10. Attackers planted PHP web shells and searched for password databases, password manager files and crypto wallets. The fix shipped on Sept 11 (version 26.4.303), but the CVE and advisory were only published on Oct 14 — Collabora blamed GitHub CVE processing backlogs.

What to do

  • Update richdocumentscode to 26.4.303 or later, or remove the app. Merely disabling it does not protect you.
  • 26.4.303 requires Nextcloud 30+; on older Nextcloud versions remove the app.
  • If the app was internet-facing, look for unfamiliar PHP files and requests to proxy.php in logs, rotate database credentials, instance secrets and app tokens, and rebuild the host from a clean image if compromise is suspected.

Источники