CVE-2026-110447: Collabora Online – Vulnerabilidad de Inyección de Comandos OS del Servidor CODE Integrado

Rescana reporta que, según el aviso de Collabora, una solicitud al script proxy.php de la aplicación puede hacer que el servidor ejecute un comando del sistema operativo como el usuario del servidor web.[2] Rescana añade que el ataque solo funciona mientras el servidor CODE local de la aplicación no está en funcionamiento, por ejemplo durante un reinicio de contenedor, una actualización o después de un bloqueo.[2]Censys dice que la falla se califica como crítica (CVSS v4.0 9.2)[3]. Censys también dice que actualmente detecta 19,454 hosts y 103,350 propiedades web con la aplicación instalada.[3]Rescana reporta que Collabora dijo que la aplicación debe actualizarse a 26.4.303 o posterior, o eliminarse, porque "No es suficiente desactivar la aplicación para evitar el problema"[2]. eSecurity Planet reporta que Collabora dijo los servidores Collabora Online independientes no se ven afectados.[4]Aviatrix dice que múltiples administradores reportaron servidores comprometidos a partir del 10 de septiembre, con atacantes desplegando shells web PHP y buscando carteras de criptomonedas, almacenes de credenciales y archivos sensibles.[5] Aviatrix añade que Collabora parcheó la vulnerabilidad en la versión 26.4.303 el 11 de septiembre, pero el aviso de seguridad no se publicó hasta el 14 de octubre[5].BleepingComputer reporta que Collabora atribuyó el anuncio retrasado principalmente a los retrasos en el procesamiento de CVE de GitHub[1].Según Shattered.io, CISA lo añadió el 23 de octubre de 2026. La fecha límite federal de remediación es el 26 de octubre de 2026.[6] eSecurity Planet advierte que "Parchear cierra la vulnerabilidad pero no elimina el acceso existente del atacante."[4]