CVE-2026-110447: Collabora Online – Vulnerabilidade de Injeção de Comando do Sistema Operacional do CODE Server Integrado

A Rescana relata que, de acordo com o aviso da Collabora, uma solicitação ao script proxy.php do aplicativo pode fazer com que o servidor execute um comando do sistema operacional como usuário do servidor web.[2] A Rescana acrescenta que o ataque só funciona enquanto o servidor CODE local do aplicativo não está em execução, por exemplo durante uma reinicialização de contêiner, uma atualização ou após uma falha.[2]A Censys diz que a falha é classificada como crítica (CVSS v4.0 9.2)[3]. A Censys também diz que atualmente detecta 19.454 hosts e 103.350 propriedades web com o aplicativo instalado.[3]A Rescana relata que a Collabora disse que o aplicativo deve ser atualizado para a versão 26.4.303 ou posterior, ou removido, porque "não é suficiente desabilitar o aplicativo para evitar o problema"[2]. A eSecurity Planet relata que a Collabora disse que os servidores Collabora Online independentes não são afetados.[4]A Aviatrix diz que múltiplos administradores relataram servidores comprometidos a partir de 10 de setembro, com atacantes implantando shells web PHP e procurando por carteiras de criptomoedas, armazenamentos de credenciais e arquivos sensíveis.[5] A Aviatrix acrescenta que a Collabora corrigiu a vulnerabilidade na versão 26.4.303 em 11 de setembro, mas o aviso de segurança não foi publicado até 14 de outubro[5].A BleepingComputer relata que a Collabora atribuiu o anúncio atrasado principalmente aos atrasos no processamento de CVEs do GitHub[1].De acordo com a Shattered.io, a CISA adicionou em 23 de outubro de 2026. O prazo de remediação federal é 26 de outubro de 2026.[6] A eSecurity Planet avisa que "A aplicação de patches fecha a vulnerabilidade mas não remove o acesso do atacante existente."[4]