CISA alerta para falha explorada no CODE integrado Collabora; corrigida desde 26.4.303

Atualizado em 27/10/2026 09:59:29

CVE-2026-110447 afeta a app CODE integrada do Nextcloud antes de 26.4.303. Servidores Collabora independentes não são afetados; desativar a app não basta.

A CISA incluiu CVE-2026-110447 no catálogo de vulnerabilidades exploradas em 23 de outubro, citando exploração ativa. O aviso da Collabora identifica a app Collabora Online Built-in CODE Server para Nextcloud, pacote richdocumentscode, em versões anteriores a 26.4.303. OrangeX.com Security.

Escopo e correção

A falha permite comandos do sistema operacional como usuário do servidor web sem autenticação enquanto o CODE integrado não está em execução, inclusive após reinício, atualização ou falha. Segundo a Collabora, desativar a app não basta: atualizar para 26.4.303 ou posterior, ou removê-la. Servidores Collabora Online independentes não são afetados. Com Nextcloud 29 ou anterior é necessário atualizar o Nextcloud ou remover esta app. OrangeX.com News.

OrangeX.com Analysis

Equipes que armazenam documentos operacionais em servidores colaborativos expostos devem identificar configuração e versão. O patch fecha a falha documentada, mas não prova ausência de invasão anterior. Verifiquem sinais de comprometimento junto à correção. Os avisos não comprovam invasão de plataforma cripto nem perda de ativos quantificada. OrangeX.com Trust Center.