CISA dodała CVE-2026-110447 do katalogu Known Exploited Vulnerabilities (KEV) 23 października 2026 r., powołując się na aktywne wykorzystywanie luki. Błąd dotyczy opcjonalnej aplikacji Nextcloud Collabora Online - Built-in CODE Server (richdocumentscode). Podatne są jej wersje wcześniejsze niż 26.4.303, a samo wyłączenie aplikacji nie wystarczy, by usunąć ryzyko.
Wpis CISA podaje termin 26 października. Dotyczy on agencji Federal Civilian Executive Branch (FCEB) w ramach dyrektywy BOD 26-04; pozostałe organizacje CISA zachęca do priorytetowego traktowania podatności z katalogu KEV.
Które instalacje Nextcloud są podatne
CVE-2026-110447 dotyczy wbudowanej aplikacji richdocumentscode, a nie każdej instalacji Nextcloud ani każdego serwera Collabora. Luka pozwala bez uwierzytelnienia uruchomić polecenie systemowe z uprawnieniami użytkownika serwera WWW. Żądanie do proxy.php może to zrobić, gdy wbudowany serwer CODE nie działa, na przykład podczas restartu, aktualizacji lub po awarii. W komunikacie Collabora podatność otrzymała ocenę krytyczną: 9,2 w skali CVSS 4.0.
Collabora podała, że samodzielne serwery Collabora Online nie są objęte tą luką. CERT Polska wyklucza również instalacje Nextcloud Office korzystające wyłącznie z zewnętrznego serwera Collabora. Wcześniejsze omówienie CVE-2026-110447 w NeoTeo znajdziesz w artykule o tej luce i jej wykorzystaniu.
Zaktualizuj aplikację albo ją usuń
Collabora zaleca aktualizację richdocumentscode do wersji 26.4.303 lub nowszej albo usunięcie aplikacji. Wyłączenie jej w Nextcloud nie wystarczy. Próg podatności odnosi się do wersji aplikacji, nie do wersji Nextcloud. Dla instalacji z Nextcloud 29 lub starszym Collabora zaleca aktualizację platformy albo usunięcie aplikacji.
Incydent we Włoszech i kontrole zalecane przez CERT Polska
W komunikacie opublikowanym 16 października 2026 r. ACN / CSIRT Italia opisała jeden zaatakowany serwer Nextcloud we Włoszech. Napastnik zainstalował trzy skrypty typu webshell i ukradł plik konfiguracyjny zawierający dane dostępowe do bazy danych i skrzynki pocztowej usługi oraz sekrety aplikacji.
CERT Polska zaleca administratorom sprawdzenie katalogu apps/richdocumentscode pod kątem plików shx*.php. W logach dostępu warto szukać żądań do proxy.php?status zawierających %2e%2e, $( lub ${IFS}, a także prób uruchomienia polecenia sudo przez konto serwera WWW.
W komunikacie z 20 października CERT Polska poinformował o wykorzystywaniu luki w atakach ransomware. W obserwacji katalogu KEV z 24 października pole CISA dotyczące znanego użycia ransomware miało wartość „Unknown”.
