15 października 2026 r. Collabora wyjaśniła, że głównym czynnikiem opóźniającym formalny komunikat o CVE-2026-110447 były wielotygodniowe kolejki GitHuba w obsłudze zgłoszeń CVE. Firma poinformowała też, że ubiegała się o status CNA, aby zgłaszać identyfikatory CVE bezpośrednio. Luka dotyczy opcjonalnej aplikacji Nextcloud richdocumentscode; Collabora zaleca aktualizację do wersji 26.4.303 lub nowszej albo usunięcie aplikacji — samo jej wyłączenie nie wystarcza (komunikat bezpieczeństwa Collabora, wpis Collabora z 15 października).
Collabora wskazała na wielotygodniowe kolejki CVE
Według Collabora czas obsługi zgłoszeń CVE w GitHubie wydłużył się z około jednego dnia do wielu tygodni. Firma podała również, że jej zespół przejrzał, opracował i naprawił zgłoszenia, których obsługa odpowiadała około dziesięciu latom pracy. W tym samym wpisie Collabora poinformowała, że ubiegała się o status CNA — organizacji uprawnionej do nadawania identyfikatorów CVE — by móc zgłaszać je bezpośrednio.
BleepingComputer przekazał 15 października, że Nextcloud tłumaczył termin ujawnienia potrzebą zapewnienia administratorom czasu na aktualizację oraz tym, że nie zaobserwował powszechnego wykorzystywania luki. To odrębna relacja Nextcloud, opisana przez BleepingComputer.
Od poprawki do formalnego komunikatu
BleepingComputer opisał też kolejność zgłoszonej poprawki, aktywności administratorów i publikacji komunikatu. Najwcześniejsza data ataku przytoczona w relacji pochodzi od administratorów; nie jest datą formalnego ujawnienia luki.
| Data | Wydarzenie |
| 9 września 2026 r. | Według BleepingComputer Collabora zapisała poprawkę w repozytorium. |
| 10 września 2026 r. | Najwcześniejsza data ataku zgłoszonego przez administratorów, przytoczona przez BleepingComputer. |
| 11 września 2026 r. | BleepingComputer podał, że wydano richdocumentscode 26.4.303. |
| 14 października 2026 r. | Collabora opublikowała komunikat bezpieczeństwa dotyczący CVE-2026-110447. |
| 15 października 2026 r. | Collabora opublikowała wyjaśnienie opóźnienia ujawnienia. |
Co zgłaszali administratorzy
BleepingComputer opisał relacje administratorów o atakach na wiele punktów końcowych, umieszczaniu webshelli PHP oraz przeszukiwaniu serwerów pod kątem magazynów haseł i portfeli kryptowalutowych. Raporty te dotyczą obserwacji administratorów; nie podają liczby zaatakowanych serwerów.
Której aplikacji dotyczy luka i jak ją zabezpieczyć
CVE-2026-110447 to podatność pozwalająca bez uwierzytelnienia wstrzyknąć polecenia systemowe przez proxy.php w opcjonalnej aplikacji Collabora Online - Built-in CODE Server (richdocumentscode). Warunkiem wykorzystania luki jest zatrzymany wbudowany serwer CODE — na przykład podczas restartu, aktualizacji lub po awarii. Polecenie może zostać wykonane z uprawnieniami użytkownika serwera WWW.
Collabora wskazała jako nieobjęte problemem samodzielne serwery Collabora Online, obrazy Docker, pakiety RPM/DEB oraz obrazy Nextcloud All-in-One. Firma zaznaczyła też, że poprawka dla CVE-2025-66208 nie zapobiega CVE-2026-110447. Wcześniejsze omówienie komunikatu Collabora o tej luce znajdziesz w poprzednim artykule NeoTeo.
Administratorzy powinni zaktualizować richdocumentscode do wersji 26.4.303 lub nowszej albo usunąć aplikację. Samo jej wyłączenie nie wystarcza. W przypadku Nextcloud 29 lub starszej wersji Collabora zaleca aktualizację platformy albo usunięcie aplikacji.
