CVE-2026-110447: Collabora Online – Vulnerabilidade de Injeção de Comando OS do Servidor CODE Integrado

BleepingComputer relata que atores de ameaça estão explorando uma falha crítica de execução de comando, agora rastreada como CVE-2026-110447, no app Collabora Online - Built-in CODE Server (richdocumentscode) para Nextcloud.[2]eSecurity Planet relata que o aviso de segurança da Collabora disse que a falha pode permitir que um atacante não autenticado execute comandos do sistema operacional com os privilégios da conta do servidor web quando o servidor CODE local está offline.[1] Segundo IONIX, a falha possui um score base CVSS v4.0 9.2 (Crítico)[3]. eSecurity Planet diz que o fornecedor corrigiu o problema na versão 26.4.303 e alertou que desabilitar o app não é suficiente. Os administradores devem atualizá-lo ou removê-lo. Servidores Collabora Online autônomos não são afetados.[1]Aviatrix relata que Collabora corrigiu a vulnerabilidade na versão 26.4.303 em 11 de setembro, mas o aviso de segurança não foi publicado até 14 de outubro[4]. BleepingComputer diz que Collabora atribuiu o atraso principalmente aos atrasos no processamento de CVEs do GitHub, que segundo a empresa estavam sobrecarregados por volumes crescentes de relatórios de segurança orientados por IA.[2]SecurityOnline relata que atacantes procuraram por *.kdbx, wallet.dat, keystore.json, Bitwarden, 1Password, e diretórios de Bitcoin, Monero ou Ethereum.[5] eSecurity Planet diz que os relatórios revisados pela publicação não mostraram os atacantes ganhando acesso root.[1]Segundo WindowsForum, o alerta da CISA é datado de 23 de outubro de 2026[6], e o catálogo KEV da CISA lista uma data de vencimento de 26 de outubro de 2026 para esta entrada.[6]ThreatWire relata que os mantenedores da Collabora também recomendaram remover arquivos PHP inesperados no diretório do app, incluindo nomes correspondentes a shx*.php.[7]