CVE-2026-110447: Collabora Online – Built-in CODE Server OS Command Injection Vulnerability

Rescana meldet, dass laut Collaboras Advisory, eine Anfrage an das proxy.php-Skript der App den Server dazu bringen kann, einen Betriebssystembefehl als Web-Server-Benutzer auszuführen.[2] Rescana fügt hinzu, dass der Angriff nur funktioniert, während der lokale CODE-Server der App nicht läuft, zum Beispiel während eines Container-Neustarts, eines Upgrades oder nach einem Absturz.[2]Censys sagt, dass die Lücke als kritisch (CVSS v4.0 9.2)[3] eingestuft ist. Censys sagt auch, dass es derzeit 19.454 Hosts und 103.350 Web-Properties mit der installierten App erkennt.[3]Rescana meldet, dass Collabora sagte, die App müsse auf Version 26.4.303 oder später aktualisiert werden oder entfernt werden, weil "es nicht ausreichend ist, die App zu deaktivieren, um das Problem zu vermeiden"[2]. eSecurity Planet meldet, dass Collabora sagte, eigenständige Collabora Online Server sind nicht betroffen.[4]Aviatrix sagt, mehrere Administratoren berichteten von kompromittierten Servern ab dem 10. September, wobei Angreifer PHP-Web-Shells einsetzten und nach Kryptowährungs-Wallets, Anmeldedaten und sensiblen Dateien suchten.[5] Aviatrix fügt hinzu, dass Collabora die Lücke in Version 26.4.303 am 11. September behob, aber die Sicherheitsmitteilung erst am 14. Oktober veröffentlicht wurde[5].BleepingComputer meldet, dass Collabora die verzögerte Ankündigung hauptsächlich auf GitHub-CVE-Verarbeitungsrückstände zurückführte[1].Laut Shattered.io hat CISA es am 23. Oktober 2026 hinzugefügt. Die bundesweit geltende Frist für Abhilfemaßnahmen ist der 26. Oktober 2026.[6] eSecurity Planet warnt, dass "Das Patchen schließt die Lücke, entfernt aber keinen vorhandenen Angreifer-Zugriff."[4]