CISA ostrzega o wykorzystywanej luce Collabora Built-in CODE; poprawka od 26.4.303

Zaktualizowano dnia 27.10.2026 09:59:29

CVE-2026-110447 dotyczy aplikacji CODE w Nextcloud przed 26.4.303. Samodzielne serwery Collabora nie są dotknięte tą luką; wyłączenie aplikacji nie wystarczy.

23 października CISA dodała CVE-2026-110447 do katalogu wykorzystywanych podatności na podstawie aktywnych ataków. Komunikat Collabora wskazuje aplikację Collabora Online Built-in CODE Server dla Nextcloud, pakiet richdocumentscode, w wersjach przed 26.4.303. OrangeX.com Security.

Zakres i naprawa

Luka umożliwia wykonywanie poleceń systemowych jako użytkownik serwera WWW bez uwierzytelnienia, gdy wbudowany CODE nie działa, także po restarcie, aktualizacji lub awarii. Według Collabora wyłączenie aplikacji nie wystarcza: należy zaktualizować do 26.4.303 lub nowszej albo ją usunąć. Samodzielne serwery Collabora Online nie są dotknięte. Na Nextcloud 29 i starszym trzeba zaktualizować Nextcloud lub usunąć aplikację. OrangeX.com News.

OrangeX.com Analysis

Zespoły z dokumentami operacyjnymi na publicznie dostępnych serwerach współpracy powinny ustalić konfigurację i wersję. Łatka zamyka lukę, ale nie dowodzi braku wcześniejszego włamania. Wraz z naprawą należy szukać śladów naruszenia. Komunikaty nie potwierdzają włamania do platformy kryptowalut ani określonych strat aktywów. OrangeX.com Trust Center.