CVE-2026-110447: Collabora Online – Built-in CODE Server вразливість OS Command Injection

За даними Rescana, згідно з рекомендацією Collabora, запит до скрипта proxy.php додатку може змусити сервер виконати команду операційної системи від імені користувача веб-сервера.[2] Rescana додає, що атака працює лише тоді, коли локальний сервер CODE додатку не запущений, наприклад під час перезавантаження контейнера, оновлення або після збою.[2]Censys стверджує, що вразливість має рейтинг критична (CVSS v4.0 9.2)[3]. Censys також стверджує, що наразі виявляє 19 454 хостів та 103 350 веб-властивостей з встановленим додатком.[3]Rescana повідомляє, що Collabora сказала, що додаток необхідно оновити до версії 26.4.303 або новішої, або видалити, тому що "недостатньо просто вимкнути додаток, щоб уникнути проблеми"[2]. eSecurity Planet повідомляє, що Collabora сказала, що автономні сервери Collabora Online не вражені.[4]Aviatrix стверджує, що кілька адміністраторів повідомили про скомпрометовані сервери, починаючи з 10 вересня, з атакуючими, які розгортають PHP веб-оболонки та шукають криптовалютні гаманці, сховища облікових даних та конфіденційні файли.[5] Aviatrix додає, що Collabora закрила вразливість у версії 26.4.303 11 вересня, але рекомендація безпеки була опублікована лише 14 жовтня[5].BleepingComputer повідомляє, що Collabora призвела затримку оголошення в основному до затримок у обробці GitHub CVE[1].За даними Shattered.io, CISA додала його 23 жовтня 2026 року. Федеральний крайній термін усунення – 26 жовтня 2026 року.[6] eSecurity Planet попереджає, що "Установлення патча закриває вразливість, але не усуває існуючий доступ зловмисника."[4]