CISA внесла в каталог Known Exploited Vulnerabilities уязвимость внедрения команд в приложение Collabora Online Built-in CODE Server для Nextcloud. Каталог, известный как KEV, собирает уязвимости с подтверждённой эксплуатацией в реальных атаках. Для этой ошибки такие случаи отмечены в сентябре и октябре 2026 года. Проблема позволяет выполнить произвольные команды на сервере Nextcloud с приложением richdocumentscode. Включение в KEV означает именно подтверждённую эксплуатацию, а не просто доступность технических деталей.
CVE-2026-110447 в приложении richdocumentscode для Nextcloud
Внедрение команд означает, что приложение подставляет внешний ввод в системную команду без проверки. Точка входа - обработчик proxy.php, который запускает встроенный сервер CODE. Ошибка срабатывает, когда сервер CODE не работает, например сразу после перезапуска продукта. Атака идёт по сети, учётные данные не нужны, участие пользователя не требуется. Оценка по CVSS 4.0 составляет 9.2 из 10, это уровень Critical.
Дополнительное условие атаки в записи указано прямо: сервер CODE должен быть остановлен. Такое окно возникает при каждом перезапуске продукта и длится недолго. По классификатору типов ошибок CWE проблема относится к неправильной нейтрализации специальных элементов в команде операционной системы. Запись CVE опубликована 14 октября 2026 года.
Приложение richdocumentscode ставит встроенный сервер CODE внутрь Nextcloud и запускает его системным вызовом из PHP. По сути это редактор документов, который работает внутри Nextcloud без отдельного хоста. Ошибка кроется в этом сценарии запуска, а не в самом Collabora Online. Поэтому отдельное исправление для Collabora Online не требуется: самостоятельные серверы Collabora, сборки из пакетов Linux и контейнеры Docker проблема не затрагивает.
Успешный запрос даёт выполнение любой команды от имени учётной записи веб-сервера. На практике на диск попадает веб-оболочка (web shell) - файл на PHP, который принимает команды через параметр запроса. Такая оболочка читает и меняет всё, что доступно этой учётной записи. Значит, файлы приложения и секреты в его окружении нужно считать потенциально скомпрометированными.
Публичные отчёты администраторов датированы 11 сентября 2026 года. Запросы шли на обработчик proxy.php, полезная нагрузка была закодирована в base64, а пробелы заменены служебными вставками. Кодирование base64 превращает команду в набор букв и цифр, поэтому в журнале её трудно узнать с первого взгляда. На серверах находили PHP-файлы со случайными именами. На одном сервере через такой файл искали данные менеджеров паролей и криптовалютных кошельков. Администраторы публиковали и индикаторы: адрес источника запросов, домен для обратного вызова и хеши найденных файлов.
Запись CVE прямо указывает на эксплуатацию в реальных атаках. Это отдельная проблема, не та, что раньше описывали под идентификатором CVE-2025-66208 в том же продукте.
Исправленная версия приложения richdocumentscode - 26.4.303. Уязвимы все версии до неё, включая 26.4.302, которая стояла на серверах из отчётов. Обновление ставится через каталог приложений Nextcloud, там же видна текущая версия.
До обновления приложение можно отключить, так поступали администраторы из отчётов. После обновления проверьте каталог приложения на посторонние PHP-файлы. Просмотрите журналы веб-сервера на запросы к proxy.php с необычными параметрами. Если чужой файл нашёлся, смените пароли и ключи, доступные учётной записи веб-сервера, и разберитесь, какие данные были ей доступны.
От атакующего здесь требуется только сетевой запрос в момент простоя сервера CODE. Исправление уже вышло, эксплуатация подтверждена, поэтому отложенное обновление оставляет Nextcloud открытым для выполнения команд.
Ссылки
- https://www.cve.org/CVERecord?id=CVE-2026-110447
- https://help.nextcloud.com/t/to-collabora-built-in-user-update-asap/250516
- https://github.com/CollaboraOnline/richdocumentscode/issues/354
- https://www.cisa.gov/news-events/alerts/2026/10/23/cisa-adds-one-known-exploited-vulnerability-catalog-0
