Nextcloud, Collabora CODE: CVE-2026-110447 intră în KEV

Pe 14 octombrie, ARX News a prezentat CVE-2026-110447, OS command injection în aplicația Collabora Online – Built-in CODE Server (richdocumentscode) pentru Nextcloud, exploatată pentru a instala web shell-uri PHP. Pe 23 octombrie 2026, CISA a inclus-o în catalogul Known Exploited Vulnerabilities (KEV), care reunește vulnerabilitățile pentru care agenția are dovezi de exploatare activă. În aceeași zi a fost actualizată și fișa NVD. În continuare, noutățile față de primul articol.

Ce se schimbă odată cu includerea în KEV

În primul articol, exploatarea era documentată de avertismentul CERT.LV și de semnalările administratorilor adunate de presa de specialitate. Acum și CISA consideră vulnerabilitatea exploatată.

Fișa KEV se intitulează „Collabora Online – Built-in CODE Server OS Command Injection Vulnerability” și cere:

• aplicarea măsurilor de atenuare conform instrucțiunilor producătorului, urmând directiva BOD 26-04 a CISA privind prioritizarea actualizărilor în funcție de risc și cerințele sale de triaj criminalistic („Forensics Triage Requirements”);
• pentru serviciile cloud, respectarea aceleiași directive sau renunțarea la produs dacă nu există măsuri de atenuare;
• evaluarea expunerii la internet a fiecărui sistem.

Pentru agențiile federale americane, termenul este 26 octombrie 2026, la trei zile după includere. Termenul nu se aplică firmelor europene, dar arată prioritatea pe care CISA o acordă vulnerabilității.

Fișa nu descrie atacurile: nu indică victime, actori sau indicatori de compromitere. La rubrica privind folosirea în campanii ransomware apare „Unknown”, adică necunoscut. Rămâne deci neconfirmat ce scriseseră unii utilizatori despre grupuri ransomware care ar exploata vulnerabilitatea, așa cum preciza deja primul articol.

Detaliile din fișa NVD

Fișa NVD pentru CVE-2026-110447, publicată pe 14 octombrie și modificată ultima dată pe 23, are starea „Deferred”: NVD și-a amânat propria analiză și nu a atribuit un scor propriu. Rămâne cel furnizat de MITRE, CVSS 4.0 9.2 (critic), cu vectorul AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N. Asta înseamnă: atac din rețea, complexitate scăzută, fără privilegii și fără interacțiunea utilizatorului; impact ridicat asupra confidențialității, integrității și disponibilității sistemului vulnerabil, fără impact indicat asupra sistemelor ulterioare. Valoarea AT:P (cerințe de atac prezente) este coerentă cu condiția deja cunoscută: serverul CODE integrat nu trebuie să ruleze. Slăbiciunea este clasificată CWE-78 (OS command injection).

Descrierea NVD adaugă trei elemente:

• exploatarea a avut loc în septembrie și în octombrie 2026, deci și după lansarea versiunii corectate, pe 11 septembrie;
• vulnerabilitatea este diferită de CVE-2025-66208: sunt doi identificatori distincți;
• defectul se află în proxy.php și apare când serverul CODE nu rulează, de exemplu imediat după o repornire a produsului; serverele Collabora Online instalate separat nu sunt afectate, ci doar această variantă cu CODE Server integrat.

Versiunea corectată indicată de NVD coincide cu cea din primul articol: 26.4.303; toate versiunile anterioare sunt vulnerabile.

Printre referințe, pe lângă fișa KEV, NVD include semnalarea nr. 354 din depozitul GitHub CollaboraOnline/richdocumentscode și discuția de pe forumul Nextcloud intitulată „To Collabora built-in user: update ASAP”.

Impactul pentru firmele europene și italiene

Odată cu includerea în KEV, vulnerabilitatea intră pe listele de priorități ale celor care urmăresc catalogul CISA. Primul articol observa că, fără un identificator CVE, defectul a scăpat săptămâni la rând scanerelor și proceselor de gestionare a vulnerabilităților: acum are un CVE, un scor și confirmarea exploatării din partea unei agenții guvernamentale. Pentru că exploatarea a continuat în octombrie, dacă nu ai actualizat încă, trebuie să iei în calcul o compromitere deja produsă.

Pentru entitățile care intră sub incidența NIS2 rămâne valabil ce s-a scris deja: gestionarea vulnerabilităților exploatate face parte din măsurile de securitate, iar o compromitere trebuie evaluată pentru notificarea către CSIRT-ul național (în Italia, CSIRT Italia al ACN). Dacă pe server există date personale, iar în sănătate date medicale, se aplică și obligațiile GDPR privind încălcarea securității datelor.

Ce să faci acum

1. Verifică dacă folosești aplicația richdocumentscode pe toate instanțele Nextcloud, inclusiv pe cele de test. Instalările cu un server Collabora Online separat nu sunt afectate.

2. Actualizează la 26.4.303 sau o versiune ulterioară. Dacă nu ai nevoie de aplicație, elimin-o: așa cum arăta primul articol, producătorul avertizează că dezactivarea nu este suficientă.

3. Nu confunda CVE-urile: dacă în instrumentele tale apare CVE-2025-66208, trateaz-o separat; CVE-2026-110447 este o altă vulnerabilitate.

4. Fă triajul criminalistic, așa cum cere și CISA, pentru toată perioada din septembrie până azi:

   • cereri către proxy.php al aplicației în jurnalele serverului web, mai ales după reporniri și actualizări;
   • fișiere PHP care nu aparțin Nextcloud, inclusiv cu occ integrity:check-core și occ integrity:check-app;
   • procese și conexiuni de ieșire neobișnuite ale utilizatorului serverului web.

   Actualizarea nu elimină un web shell deja instalat.

5. Dacă găsești urme: izolează serverul, schimbă credențialele din config.php și secretele salvate pe server, apoi evaluează obligațiile de notificare.

Cum ajută ARXDOME

ARX Shield afișează vulnerabilitățile deschise pe mașinile monitorizate, cu cele deja exploatate evidențiate, și permite izolarea din rețea a unei mașini suspecte. Pe calculatoarele și serverele cu agentul ARXDOME, ARX Sentry verifică integritatea fișierelor din folderele stabilite: dacă incluzi folderele Nextcloud, apariția unor fișiere PHP noi devine un eveniment de analizat. ARX Expose arată ce servicii ale firmei tale sunt vizibile din internet.

Ultima actualizare: 23 octombrie 2026