CISA zařadila 23. října 2026 do katalogu prokazatelně zneužívaných zranitelností chybu CVE-2026-110447. Je v aplikaci Collabora Online Built-in CODE Server, kterou si firmy instalují do Nextcloudu, aby se v něm daly otevírat a upravovat dokumenty. Útočník ji zneužije bez přihlášení a nechá si na serveru spustit vlastní příkazy. Pokud aplikaci máte a není ve verzi 26.4.303 nebo novější, řešte to dnes.
Co se stalo
Nextcloud je úložiště a sdílení souborů, které si firmy provozují na svých serverech. Aplikace Collabora Online Built-in CODE Server, v katalogu aplikací uvedená jako richdocumentscode, k němu přidává editaci dokumentů v prohlížeči. Součástí aplikace je skript proxy.php. Ten předává požadavky místní dokumentové službě, a když služba neběží, sám ji spouští. Podle oznámení Collabory se do té spouštěcí sekvence dostával text z požadavku, takže útočník mohl nechat provést vlastní příkaz operačního systému s právy webového serveru.
Collabora hodnotí chybu jako kritickou se skóre 9,2 podle CVSS 4.0: útok po síti, bez přihlášení a bez interakce uživatele, s plným dopadem na důvěrnost, integritu i dostupnost. Oznámení výrobce vyšlo 14. října 2026, CISA chybu zařadila do katalogu zneužívaných zranitelností 23. října a úřadům ve Spojených státech dala termín na opravu do 26. října 2026.
Že nejde o teorii, popsal už 11. září 2026 jeden ze správců v hlášení na GitHubu projektu richdocumentscode. Na jeho servery přicházely požadavky na adresu /apps/richdocumentscode/proxy.php?status s příkazy zakódovanými v adrese, v adresáři aplikace po nich zůstaly cizí soubory PHP a server se pokoušel spojit s externí službou webhook.site. Kolik instalací útočníci napadli celkem, nikdo nezveřejnil.
Týká se vás to?
- Zasažená je aplikace Collabora Online Built-in CODE Server (richdocumentscode) ve verzích starších než 26.4.303. Verzi si ověříte v administraci Nextcloudu v seznamu aplikací.
- Samostatně provozované servery Collabora Online zasažené nejsou. Nejde ani o aplikaci richdocuments, tedy o samotný konektor na externí Collaboru.
- Útok funguje jen ve chvíli, kdy vestavěný CODE server neběží: po restartu kontejneru, při aktualizaci nebo po spadnutí služby. Spolehnout se na to nedá, útočník si takový okamžik vyčká.
- Vypnutí aplikace nestačí. Skript proxy.php spouští webový server přímo, bez kódu Nextcloudu, a je tedy dosažitelný i u vypnuté aplikace. Podle Collabory pomůže jen aktualizace, nebo odebrání aplikace.
- Jde o jinou cestu než starší chyba CVE-2025-66208. Oprava té chyby tuto nezastaví.
Co udělat hned
- Aktualizujte aplikaci na verzi 26.4.303 nebo novější. Instaluje se z katalogu aplikací Nextcloudu jako každá jiná aktualizace.
- Pokud editaci dokumentů v Nextcloudu nepoužíváte, aplikaci odeberte. Collabora to uvádí jako rovnocenné řešení a ubude vám jedna služba dosažitelná z internetu.
- Máte-li Nextcloud ve verzi 29 nebo starší, tedy bez podpory, doporučuje Collabora aktualizovat samotný Nextcloud, nebo aplikaci odebrat.
- Dočasné opatření výrobce neuvádí a žádný přepínač, který by chybu obešel, k dispozici není. Když aktualizaci nemůžete nasadit hned, omezte přístup k instanci z internetu na dobu, než to půjde.
Jak poznat, že už jste napadení
Collabora ani CISA indikátory nezveřejnily. Z hlášení správce na GitHubu vyplývá, čeho si všimnout v protokolech:
- požadavky na /apps/richdocumentscode/proxy.php v protokolu webového serveru, zvlášť s podivnými znaky v adrese a s návratovým kódem 200,
- soubory PHP v adresáři aplikace richdocumentscode, které tam nepatří,
- odchozí spojení ze serveru na službu webhook.site a procesy shellu spuštěné pod účtem webového serveru.
Když takový nález potvrdíte, samotná aktualizace nestačí. Server berte jako napadený: odpojte ho, zajistěte protokoly, zkontrolujte účty a naplánované úlohy a obnovte ho ze zálohy z doby před prvním podezřelým požadavkem. Jak postupovat v prvních hodinách, máme na stránce Právě řešíte incident.
Nestíháte to sledovat?
Takové chyby se objevují i v nástrojích, které nikdo nepovažuje za bezpečnostní, a opravit se musí rychle. Pomáháme firmám nastavit, kdo zranitelnosti hlídá, podle čeho se rozhoduje o pořadí a jak se měří, že se opravy skutečně nasadily. Přehled stavu dá posouzení bezpečnosti, dlouhodobé vedení agendy externí manažer bezpečnosti. Úvodní konzultace je bezplatná, ozvěte se přes kontaktní stránku.
Zdroje: Collabora Online, oznámení k CVE-2026-110447 · CISA, katalog prokazatelně zneužívaných zranitelností · richdocumentscode, hlášení správce o napadených serverech