Collabora explica o atraso na divulgação do CVE-2026-110447

Em 15 de outubro de 2026, a Collabora atribuiu o atraso na divulgação formal do CVE-2026-110447 à fila de processamento de CVEs do GitHub: segundo a empresa, o prazo, que era de cerca de um dia, havia chegado a muitas semanas. A Collabora também disse que sua equipe tratou, em 2026, um volume de relatos de segurança equivalente a cerca de dez anos de trabalho e que se candidatava a se tornar uma Autoridade de Numeração CVE (CNA), para enviar CVEs diretamente. A explicação da empresa dá contexto à distância entre a correção relatada em setembro e o aviso formal de outubro.

A Nextcloud apresentou outra ênfase à BleepingComputer: disse que a demora permitiria aos administradores atualizar os sistemas e que não havia observado exploração disseminada. São explicações atribuídas a cada empresa, sem uma causa única estabelecida para o intervalo.

Da correção ao aviso formal

A BleepingComputer relatou a sequência inicial, incluindo as datas de correção, de atividade informada por administradores e de lançamento da versão corrigida. A reportagem também atribuiu a 10 de setembro o registro mais antigo de ataque citado por administradores.

O que os administradores relataram

Em 15 de outubro, a BleepingComputer relatou que administradores haviam descrito ataques contra vários endpoints, com instalação de web shells PHP e buscas por bancos de senhas, dados de gerenciadores de senhas e carteiras de criptomoedas. Os relatos situavam o início da atividade em setembro; não forneciam uma contagem de servidores afetados.

Qual app está vulnerável e como corrigir

O aviso da Collabora identifica uma injeção de comandos no sistema operacional, sem autenticação, no endpoint proxy.php do app opcional Collabora Online - Built-in CODE Server, cujo pacote é richdocumentscode. A falha afeta versões anteriores à 26.4.303 e permite executar comandos com os privilégios do usuário do servidor web quando o servidor CODE integrado não está em execução. O aviso de segurança da Collabora também esclarece que CVE-2026-110447 é distinta de CVE-2025-66208 e que corrigir a vulnerabilidade anterior não impede esta.

A Collabora recomenda atualizar richdocumentscode para a versão 26.4.303 ou posterior, ou remover o app; desativá-lo, por si só, não basta. Para instalações com Nextcloud 29 ou anterior, a orientação é atualizar o Nextcloud ou remover o app. A empresa também excluiu do escopo servidores autônomos Collabora Online, imagens Docker, pacotes RPM/DEB e imagens Nextcloud All-in-One. Ela afirmou que o app integrado era usado por uma minoria dos usuários do Nextcloud e que nenhum cliente do Collabora Online havia sido afetado. A NeoTeo já havia coberto o aviso e a correção do app.