CISA: luka w Collabora dla Nextcloud jest wykorzystywana w atakach

23 października CISA dodała CVE-2026-110447 do katalogu luk wykorzystywanych w rzeczywistych atakach. Problem dotyczy aplikacji Collabora Online — Built-in CODE Server działającej wewnątrz Nextcloud. Pozwala na wykonanie poleceń systemowych w określonych warunkach. Poprawka jest dostępna w wersji 26.4.303.

Co nowego potwierdzono

Sama podatność została ujawniona wcześniej, 14 października. Nową informacją z ostatniej doby jest wpis do katalogu CISA, który potwierdza praktyczne wykorzystanie luki. Agencja wyznaczyła objętym jej wymaganiami amerykańskim instytucjom federalnym termin działań na 26 października. Nie jest to termin prawny obowiązujący polskie organizacje, ale stanowi sygnał do pilnego przeglądu instalacji.

Według producenta podatny jest plik proxy.php aplikacji richdocumentscode. Atak umożliwia uruchomienie polecenia z uprawnieniami użytkownika serwera WWW, kiedy wbudowany serwer CODE nie działa. Taki stan może wystąpić podczas ponownego uruchamiania kontenera, aktualizacji albo po awarii.

Kogo dotyczy zagrożenie

Podatne są wydania aplikacji starsze niż 26.4.303. Samodzielne serwery Collabora Online nie są objęte tym problemem. Producent zaznacza również, że poprawka wcześniejszej CVE-2025-66208 nie zabezpiecza przed opisywaną ścieżką ataku.

Istotny szczegół: wyłączenie aplikacji nie wystarcza do usunięcia zagrożenia. Zalecane jest jej uaktualnienie lub usunięcie. Użytkownicy niewspieranych wydań Nextcloud 29 i starszych powinni zaktualizować platformę albo usunąć tę aplikację.

Co zrobić teraz

• Sprawdzić obecność i wersję richdocumentscode we wszystkich instalacjach Nextcloud.
• Uaktualnić aplikację do 26.4.303 lub nowszej, a jeśli to niemożliwe — usunąć ją zgodnie z zaleceniem producenta.
• Przejrzeć dzienniki dostępu oraz aktywność procesów serwera WWW, szczególnie wokół awarii i restartów.
• Zbadać podejrzane polecenia, nowe pliki i nietypowe połączenia wychodzące; aktualizacja nie rozstrzyga, czy wcześniej doszło do włamania.

Komentarz SecurHUB

Warunki występujące podczas restartu także powinny być uwzględniane w ocenie bezpieczeństwa aplikacji. Obsługa incydentów może pomóc ustalić zakres podejrzanej aktywności i uporządkować działania po wykryciu śladów wykorzystania luki.

Źródła: CISA — katalog KEV, Collabora — komunikat bezpieczeństwa, Breach Briefing