CISA dodała CVE-2026-110447 do katalogu KEV 23 października 2026 r., powołując się na dowody aktywnego wykorzystywania luki. Problem dotyczy opcjonalnej aplikacji Nextcloud richdocumentscode w wersjach starszych niż 26.4.303. Administratorzy powinni zaktualizować ją do wersji 26.4.303 lub nowszej albo usunąć. Samo wyłączenie aplikacji nie wystarczy.

Którego komponentu dotyczy luka?

CVE-2026-110447 umożliwia uruchomienie poleceń systemu operacyjnego przez nieuwierzytelnione żądanie do proxy.php, gdy wbudowany serwer CODE nie działa. Taka sytuacja może wystąpić podczas restartu, aktualizacji lub po awarii. Polecenia są wykonywane z uprawnieniami konta serwera WWW.

Podatność obejmuje aplikację Collabora Online - Built-in CODE Server (richdocumentscode) w wersjach wcześniejszych niż 26.4.303. Próg dotyczy wersji aplikacji, a nie wydania Nextcloud. Collabora opisuje warunki luki i zalecane działanie w swoim ostrzeżeniu bezpieczeństwa.

Jak zabezpieczyć instalację Nextcloud?

Zaktualizuj richdocumentscode do wersji 26.4.303 lub nowszej albo usuń aplikację. Wyłączenie jej nie usuwa podatnego pliku proxy.php, dlatego nie zastępuje aktualizacji ani odinstalowania.

W Nextcloud 29 lub starszym nie można zainstalować poprawionej wersji aplikacji. Collabora zaleca w takim przypadku aktualizację Nextcloud albo usunięcie richdocumentscode.

Które konfiguracje Collabora są poza zakresem?

Samodzielny serwer Collabora Online nie jest objęty tą konkretną luką. CERT Polska wyklucza również instalacje Nextcloud Office (richdocuments) korzystające z zewnętrznego serwera Collabora.

Collabora wskazuje, że CVE-2026-110447 ma inną ścieżkę ataku niż CVE-2025-66208, a poprawka wcześniejszej luki nie zapobiega tej podatności. Więcej kontekstu o wcześniejszym ostrzeżeniu Collabora zawiera poprzedni materiał NeoTeo.

Kogo obejmuje dyrektywa CISA?

Dyrektywa BOD 26-04 dotyczy wyłącznie amerykańskich agencji Federal Civilian Executive Branch (FCEB). Termin wskazany dla tych agencji przypada 26 października 2026 r. Dyrektywa nakazuje priorytetowo traktować podatności z katalogu KEV na publicznie dostępnych zasobach, których wykorzystanie daje pełną kontrolę nad systemem. Przewiduje też odroczenie podatności o niższym ryzyku oraz podstawowe kontrole, które mają pomóc ustalić, czy system został naruszony przed instalacją poprawki.

CISA zachęca pozostałe organizacje do priorytetyzowania podatności z KEV, ale jej alert nie rozszerza dyrektywy BOD 26-04 na innych operatorów. Szczegóły CISA opisała w alercie z 23 października.

Jakich śladów możliwego wykorzystania szukać?

W ostrzeżeniu opublikowanym 20 października CERT Polska poinformował o wykorzystywaniu luki w atakach ransomware i próbach przejmowania serwerów. Do analizy możliwego wykorzystania CERT Polska zaleca sprawdzić:

  • czy w apps/richdocumentscode znajdują się pliki shx*.php;
  • czy logi dostępu zawierają żądania do proxy.php?status z ciągami %2e%2e, $( lub ${IFS};
  • czy z konta serwera WWW podejmowano próby uruchomienia sudo.

Zalecenia i wskaźniki CERT Polska znajdują się w ostrzeżeniu zespołu.