14 października 2026 r. Collabora opublikowała ostrzeżenie o krytycznej luce CVE-2026-110447 w opcjonalnej aplikacji Nextcloud Collabora Online - Built-in CODE Server (richdocumentscode). Podatne są wersje wcześniejsze niż 26.4.303. Samo wyłączenie aplikacji nie wystarczy: Collabora zaleca jej aktualizację do wersji 26.4.303 lub nowszej albo usunięcie.
Którego wdrożenia dotyczy luka?
Problem dotyczy aplikacji Built-in CODE, a nie samego Nextcloud Office. Collabora podaje, że luka nie obejmuje samodzielnych serwerów Collabora Online.
Do wykorzystania błędu dochodzi, gdy lokalny serwer CODE nie działa — na przykład podczas ponownego uruchamiania lub aktualizacji albo po awarii. Nieuwierzytelnione żądanie do proxy.php może wtedy doprowadzić do wykonania polecenia systemowego z uprawnieniami użytkownika serwera WWW. „Nieuwierzytelnione” oznacza, że atakujący nie musi się wcześniej logować.
Jak naprawić podatną instalację?
Zaktualizuj richdocumentscode do wersji 26.4.303 lub nowszej albo usuń aplikację. Wpis wydania potwierdza, że wersja 26.4.303 ukazała się 11 września 2026 r.
Wersja aplikacji z poprawką wymaga Nextcloud 30 lub nowszego. Collabora zaleca użytkownikom Nextcloud 29 lub starszego aktualizację platformy albo usunięcie aplikacji.
Co zgłoszono o atakach?
The Hacker News relacjonował, że administratorzy odnotowali aktywność ataków od 10 września 2026 r., a trzech administratorów zgłosiło przejęcia. Collabora wydała poprawkę 11 września, a publiczne ostrzeżenie opublikowała 14 października. Te daty oddzielają zgłoszoną aktywność, wydanie naprawionej wersji i publikację ostrzeżenia. (The Hacker News; wpis wydania 26.4.303)
