CVE-2026-110447: Collabora Online – уязвимость внедрения команд ОС во встроенном сервере CODE

Pescana сообщает, что, согласно консультативу Collabora, запрос к скрипту proxy.php приложения может заставить сервер выполнить команду операционной системы от имени пользователя веб-сервера.[2] Rescana добавляет, что атака работает только в то время, когда локальный сервер CODE приложения не запущен, например во время перезагрузки контейнера, обновления или после сбоя.[2]Censys говорит, что уязвимость оценена как критическая (CVSS v4.0 9,2)[3]. Censys также сообщает, что в настоящее время обнаруживает 19 454 хоста и 103 350 веб-свойств с установленным приложением.[3]Rescana сообщает, что Collabora заявила, что приложение должно быть обновлено до версии 26.4.303 или более новой, либо удалено, потому что "недостаточно просто отключить приложение, чтобы избежать проблемы"[2]. eSecurity Planet сообщает, что Collabora заявила, что автономные серверы Collabora Online не затронуты.[4]Aviatrix сообщает, что несколько администраторов сообщили о скомпрометированных серверах, начиная с 10 сентября, причем злоумышленники развертывали веб-оболочки PHP и искали кошельки для криптовалют, хранилища учетных данных и конфиденциальные файлы.[5] Aviatrix добавляет, что Collabora исправила уязвимость в версии 26.4.303 11 сентября, но консультативная информация о безопасности была опубликована только 14 октября[5]. BleepingComputer сообщает, что Collabora отнесла отсроченное объявление в первую очередь к задолженности GitHub по обработке CVE[1]. По данным Shattered.io, CISA добавила это 23 октября 2026 года. Федеральный срок исправления – 26 октября 2026 года.[6] eSecurity Planet предупреждает, что "патч закрывает уязвимость, но не удаляет существующий доступ злоумышленников."[4]