Collabora Online содержит уязвимость, из-за которой удалённый злоумышленник выполняет произвольный код на сервере, не имея учётной записи и не взаимодействуя с пользователем. Проблема затрагивает встроенный сервер CODE, который поставляется вместе с онлайн-офисом, во версиях до 26.4.303. В Collabora Online документы открываются в браузере, поэтому такие сборки часто ставят рядом с файловым облаком и корпоративным порталом. Оценка по CVSS 3.1 достигает 9,8 из 10, уровень опасности вендор и Банк данных угроз безопасности информации (BDU) определяют как критический.
Внедрение команд в Collabora Online CVE-2026-110447
Причина - непринятие мер по нейтрализации специальных элементов, которые передаются в команду операционной системы. Проще говоря, прокси-компонент офиса принимает от клиента данные и подставляет их в системный вызов, не проверяя служебные символы. Злоумышленнику достаточно сформировать запрос с лишними знаками, чтобы оболочка сервера восприняла часть строки как отдельную команду. Класс ошибки - внедрение команд операционной системы, CWE-78. Опасность в том, что команда исполняется с правами службы Collabora, а значит, получает доступ к документам, сетевым ресурсам и внутренним сервисам, которые видит этот процесс.
Уязвимость выявили 3 октября 2026 года. Вектор атаки сетевой, сложность низкая, привилегии и действия пользователя не нужны. Совокупность условий делает проблему удобной для массового сканирования: атакующему не требуется подбирать пароль или уговаривать сотрудника открыть вложение. Достаточно найти доступный извне экземпляр и отправить один запрос. Производитель подтвердил уязвимость, а сведения о ней попали в каталог эксплуатируемых уязвимостей Агентства по кибербезопасности и защите инфраструктуры США (CISA), куда включают только те проблемы, для которых зафиксированы реальные атаки. Публичный эксплойт (вредоносный код, использующий уязвимость) на момент публикации тоже существует.
Почему встроенный сервер оказался в зоне риска
Встроенный CODE разработчики добавили, чтобы онлайн-офис работал без отдельной инфраструктуры. Такой сервер разворачивают вместе с Nextcloud и похожими системами хранения файлов. В результате уязвимость оказывается на том же узле, где лежат рабочие документы, договоры, таблицы и внутренние регламенты. Обсуждение обновления на форуме сообщества Nextcloud прямо призывает пользователей встроенной сборки обновиться как можно скорее, что косвенно указывает на широкое распространение конфигурации.
Для организации последствия выходят за пределы одного сервера. Захватив процесс офиса, злоумышленник читает и меняет файлы, к которым тот имеет доступ. Через сетевые подключения он может добраться до смежных систем. Отдельный риск - тихая модификация документов: подменённый договор или изменённая строка в отчёте обнаруживаются не сразу, а иногда и вовсе не обнаруживаются. Данные об угрозе вошли в перечень CISA, поэтому проверять журналы и сетевую доступность таких серверов стоит не только по факту выхода бюллетеня.
Устранение и что делать администраторам
Уязвимость закрыта, обновление доступно. Ветки Collabora Online и встроенного сервера CODE старше 26.4.303 остаются уязвимыми, поэтому сборку нужно поднять до актуальной версии. Проверить текущий номер сборки можно в панели управления офиса или в интерфейсе связанной системы хранения файлов. Автоматическое обновление в контейнерных развёртываниях часто отключено, так что версию придётся сверить вручную.
Второй шаг касается сетевой доступности. Если сервер офиса не должен принимать подключения из интернета, закройте его межсетевым экраном или вынесу в отдельный сегмент сети. Это снижает вероятность эксплуатации, но не заменяет обновление. Полезно также ограничить исходящие соединения со узла с Collabora до минимально нужных адресов: это затруднит использование внедрённых команд для связи с внешним сервером управления. В журналах веб-сервера имеет смысл поискать необычные запросы к прокси-компоненту офиса с символами оболочки в параметрах. Отдельно проверьте, не было ли на сервере посторонних процессов и новых учётных записей за период с октября.
Картина для администраторов складывается неприятная, но предсказуемая: офисные серверы редко воспринимают как периметр, хотя они обрабатывают самые чувствительные документы. Ошибка в одном вспомогательном компоненте здесь равна полному доступу к рабочему контуру. Отсюда практический вывод: обновлять нужно не только операционную систему и веб-сервер, но и офисные надстройки, которые годами работают без внимания.
Ссылки
- https://bdu.fstec.ru/vul/2026-17776
- https://www.cve.org/CVERecord?id=CVE-2026-110447
- https://help.nextcloud.com/t/to-collabora-built-in-user-update-asap/250516
- https://github.com/CollaboraOnline/online/security/advisories/GHSA-g3vx-3m76-fghh
- https://github.com/CollaboraOnline/richdocumentscode/issues/354
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-110447
- https://www.cisa.gov/sites/default/files/csv/known_exploited_vulnerabilities.csv
