Злоумышленники используют критическую уязвимость выполнения команд в приложении Collabora Online - Built-in CODE Server, известном как richdocumentscode, внутри платформы Nextcloud. Уязвимости присвоен идентификатор CVE-2026-110447, при этом сообщения администраторов указывают, что эксплуатация началась в середине сентября — примерно за месяц до публикации официального уведомления о безопасности и идентификатора CVE.
Что происходит?
Уязвимость затрагивает версии richdocumentscode до 26.4.303 и находится в механизме запуска сервера Collabora, встроенного в приложение Nextcloud. Злоумышленник может отправить специально сформированный запрос к конечной точке proxy.php, что приводит к внедрению и выполнению команд операционной системы.
Для эксплуатации не требуются аутентификация или взаимодействие с пользователем, однако есть важное условие: встроенный сервер CODE должен быть остановлен, что может произойти после перезапуска или обновления сервера либо из-за сбоя. Администраторы сообщили, что с 10 сентября вредоносная активность затронула несколько конечных точек.
Масштаб воздействия и меры устранения
Воздействию подвержено только встроенное и необязательное приложение CODE Server. Согласно Collabora, автономные серверы Collabora Online, установки через Docker и RPM/DEB, а также дистрибутивы Nextcloud All-in-One не затронуты.
Согласно сообщениям администраторов, злоумышленники устанавливали бэкдоры, написанные на PHP, а затем использовали их для поиска баз данных с паролями, файлов, связанных с менеджерами паролей, и криптовалютных кошельков. Некоторые пользователи заявили, что уязвимость также эксплуатируют операторы программ-вымогателей, однако BleepingComputer не смог независимо это подтвердить.
Рекомендуется обновиться до версии 26.4.303 или новее либо удалить приложение, если оно не требуется. Поставщик предупреждает, что одного отключения приложения недостаточно для устранения проблемы. Кроме того, 3 октября профильное сообщество опубликовало предупреждение, призвав немедленно выполнить обновление из-за продолжающейся эксплуатации.
Почему это важно?
Практическая опасность заключается в разрыве между доступностью исправления и официальным раскрытием информации. Исправление было отправлено в репозиторий 9 сентября, исправленная версия выпущена 11 сентября, тогда как уведомление и идентификатор CVE были опубликованы 14 октября — с разницей более чем в четыре недели. В этот период администраторам было сложнее выявить проблему и связать её с продолжающейся атакующей активностью.
Nextcloud заявила, что Collabora сообщила ей об уязвимости в середине сентября и что обновление стало доступно через магазин приложений, объяснив задержку раскрытия необходимостью дать пользователям время на обновление и отсутствием признаков широкомасштабной эксплуатации. Collabora объяснила задержку главным образом накопившимися запросами на обработку CVE на GitHub на фоне роста числа сообщений об уязвимостях, подготовленных с использованием инструментов искусственного интеллекта.
Согласно исследованию, на которое источник ссылается со слов компании по кибербезопасности Second Security, медианный интервал между публичными исправлениями и публикацией идентификаторов CVE в августе составил 39 дней по сравнению с 5,1 дня в январе. Исследование также показало, что общедоступные эксплойты могут появляться в течение нескольких часов после выпуска исправления и за несколько дней до публикации CVE, что повышает важность отслеживания обновлений самих продуктов и отказа от ожидания одного лишь номера CVE для принятия защитных мер.