CISA отметила эксплуатируемый сбой Collabora Built-in CODE; исправление с 26.4.303

Обновлено 27.10.2026 09:59:29

CVE-2026-110447 затрагивает встроенное приложение CODE в Nextcloud до 26.4.303. Отдельные серверы Collabora не затронуты; отключения приложения недостаточно.

23 октября CISA включила CVE-2026-110447 в каталог известных эксплуатируемых уязвимостей, сославшись на активные атаки. Collabora указывает приложение Collabora Online Built-in CODE Server для Nextcloud, пакет richdocumentscode, в версиях до 26.4.303. OrangeX.com Security.

Область действия и устранение

Ошибка позволяет без аутентификации выполнять команды ОС от имени пользователя веб-сервера, пока встроенный CODE не работает, включая перезапуск, обновление или сбой. По Collabora, отключить приложение недостаточно: требуется обновление до 26.4.303 или новее либо удаление. Отдельные серверы Collabora Online не затронуты. На Nextcloud 29 и старее нужно обновить Nextcloud или удалить это приложение. OrangeX.com News.

OrangeX.com Analysis

Командам с рабочими документами на доступных извне серверах совместной работы стоит определить конфигурацию и версию компонента. Патч закрывает ошибку, но не доказывает отсутствие прошлой атаки. Вместе с исправлением следует искать признаки компрометации. Эти сообщения не устанавливают взлом криптоплатформы или конкретный размер потерь активов. OrangeX.com Trust Center.