CVE-2026-110447 : Collabora Online – Vulnérabilité d'injection de commandes du système d'exploitation du serveur CODE intégré

Rescana rapporte que, selon l'avis de Collabora, une requête adressée au script proxy.php de l'application peut forcer le serveur à exécuter une commande du système d'exploitation en tant qu'utilisateur du serveur Web.[2] Rescana ajoute que l'attaque ne fonctionne que lorsque le serveur CODE local de l'application n'est pas en cours d'exécution, par exemple lors d'un redémarrage de conteneur, d'une mise à niveau ou après un sinistre.[2]Censys indique que la faille est évaluée critique (CVSS v4.0 9,2)[3]. Censys déclare également qu'il détecte actuellement 19 454 hôtes et 103 350 propriétés Web avec l'application installée.[3]Rescana rapporte que Collabora a déclaré que l'application doit être mise à niveau vers la version 26.4.303 ou ultérieure, ou supprimée, car « Il ne suffit pas de désactiver l'application pour éviter le problème »[2]. eSecurity Planet rapporte que Collabora a déclaré que les serveurs Collabora Online autonomes ne sont pas affectés.[4]Aviatrix indique que plusieurs administrateurs ont signalé des serveurs compromis à partir du 10 septembre, les attaquants déployant des shells Web PHP et recherchant des portefeuilles de crypto-monnaies, des magasins d'identifiants et des fichiers sensibles.[5] Aviatrix ajoute que Collabora a corrigé la vulnérabilité dans la version 26.4.303 le 11 septembre, mais l'avis de sécurité n'a été publié que le 14 octobre[5].BleepingComputer rapporte que Collabora a attribué l'annonce retardée principalement aux arriérés de traitement des CVE de GitHub[1].Selon Shattered.io, la CISA l'a ajoutée le 23 octobre 2026. Le délai de correction fédéral est le 26 octobre 2026.[6] eSecurity Planet avertit que « L'application du correctif ferme la vulnérabilité mais ne supprime pas l'accès existant de l'attaquant. »[4]