Встроенное приложение Collabora Online для Nextcloud содержит уязвимость внедрения команд операционной системы. Удалённый злоумышленник получает возможность запускать команды от имени пользователя веб-сервера. Учётные данные и действия со стороны пользователя не требуются, атака идёт по сети. Оценка по CVSS v4 составляет 9.2 балла. Исправление появилось в версии 26.4.303.
CVE-2026-110447 в Collabora Online для Nextcloud
Уязвимость затрагивает пакет richdocumentscode. Его распространяют как приложение "Collabora Online - Built-in CODE Server", которое ставят на Nextcloud для работы с документами. Ошибка находится в прокси-обработчике proxy.php. Через него проходят запросы клиентов к серверу документов. Один такой запрос при определённых условиях позволяет выполнить произвольную команду.
Проблема получила идентификатор CVE-2026-110447 и категорию CWE-78, то есть внедрение команд операционной системы. Уведомление GHSA-g3vx-3m76-fghh опубликовали 14 октября 2026 года. Оценка в 9.2 балла соответствует критическому уровню по классификации вендора. Вектор описывает сетевую атаку низкой сложности, без привилегий и без участия пользователя. Одна из метрик отмечает дополнительное условие, без которого атака не работает.
Атака работает только тогда, когда встроенный сервер CODE не запущен. Такое состояние возникает после перезапуска контейнера, обновления или сбоя. Злоумышленник может дождаться удобного момента, а может спровоцировать остановку сервиса. В этот момент запрос к прокси позволяет выполнить команду.
Права пользователя веб-сервера открывают доступ к конфигурации Nextcloud, учётным данным базы данных и файлам пользователей. Злоумышленник способен изменить содержимое и закрепиться в системе, чтобы развивать атаку внутри сети. В уведомлении сказано только о запуске команд от имени пользователя веб-сервера. Перечисленные последствия - типичные риски такого уровня доступа, а не цитата из документа.
Уязвимость касается тех, кто развернул приложение на собственном сервере Nextcloud. Обычно там хранят рабочие документы, переписку и внутренние инструкции. Поэтому выполнение команд от имени веб-сервера затрагивает не только сервис документов.
Сообщений о реальной эксплуатации в уведомлении нет. Атака не требует учётных данных и отличается низкой сложностью, поэтому обновление лучше не откладывать. Разработчики подчёркивают, что прежняя проблема CVE-2025-66208 лежит в другом участке кода. Исправление для неё новую уязвимость не закрывает.
Уязвимость затрагивает все выпуски richdocumentscode до 26.4.303. Исправление доступно в версии 26.4.303 и более новых. Отключения приложения недостаточно - нужен переход на новую версию или полное удаление. Самостоятельные серверы Collabora Online уязвимости не подвержены. Тем, кто работает на Nextcloud 29 и более старых выпусках, снятых с поддержки, придётся обновить платформу или отказаться от приложения.
Администраторам нужно перевести приложение на 26.4.303 или новее. Если встроенный сервер CODE не нужен, приложение удаляют целиком, поскольку одного отключения мало. Службам безопасности полезно просмотреть журналы веб-сервера и поискать необычные обращения к прокси-обработчику. Особый интерес представляют записи рядом с перезапусками и сбоями. Ещё один признак компрометации - неожиданные дочерние процессы, запущенные от имени пользователя веб-сервера. Вместо встроенного сервера можно развернуть самостоятельный Collabora Online, который уязвимости не подвержен.
Встроенный сервер CODE удобен, так как избавляет от отдельного сервиса документов. Обратная сторона такой экономии - дополнительная поверхность атаки внутри самого Nextcloud. Сведения об эксплуатации пока не публиковались, но окно между уведомлением и первыми сканированиями обычно короткое. Злоумышленнику здесь не нужны ни учётные данные, ни действия пользователя.
Ссылки
