CVE-2026-110447: Collabora Online – 組み込みCODEサーバーOSコマンドインジェクション脆弱性

Rescanaが報じたところによると、Collaboraの勧告に基づき、アプリのproxy.phpスクリプトへのリクエストにより、サーバーはウェブサーバーユーザーとしてオペレーティングシステムコマンドを実行することができます。[2] Rescanaは以下を追加報告しています。この攻撃は、たとえばコンテナの再起動、アップグレード、またはクラッシュ後など、アプリのローカルCODEサーバーが実行されていない間のみ機能します。[2]Censysは、この脆弱性を重大（CVSS v4.0 9.2）[3]と評価していると述べています。Censysはまた、現在19,454ホストと103,350のウェブプロパティでこのアプリがインストールされていることを検出しているとも述べています。[3]Rescanaが報じたところによると、Collaboraは、アプリを26.4.303以降にアップグレードするか削除する必要があると述べています。その理由は、"問題を回避するためにアプリを無効化するだけでは不十分です"[2]だからです。eSecurity Planetが報じたところによると、CollaboraはスタンドアロンのCollabora Onlineサーバーは影響を受けないと述べています。[4]Aviatrixによると、複数の管理者が9月10日以降侵害されたサーバーを報告しており、攻撃者はPHPウェブシェルを配置し、暗号通貨ウォレット、認証情報ストア、および機密ファイルを検索しています。[5] Aviatrixは以下も追加しています。Collaboraは9月11日にバージョン26.4.303で脆弱性にパッチを当てましたが、セキュリティ勧告は10月14日まで公開されませんでした。[5]BleepingComputerが報じたところによると、Collaboraは遅延した発表を主にGitHub CVE処理のバックログに起因するとしています。[1]Shattered.ioによると、CISAは2026年10月23日にこれを追加しました。連邦の修復期限は2026年10月26日です。[6] eSecurity Planetは"パッチは脆弱性を閉じますが、既存の攻撃者アクセスは削除されません。"と警告しています。[4]